Orientações de Implementação empresarial para CVE-2023-24932

Dividimos a implementação em vários passos que podem ser alcançados numa linha cronológica que funciona para a sua organização. Deve familiarizar-se com estes passos. Assim que tiver uma boa compreensão dos passos, deve considerar como irão funcionar no seu ambiente e preparar planos de implementação que funcionam para a sua empresa na linha cronológica.

A adição do novo certificado CA 2023 da UEFI do Windows e a não fidedigna do certificado PCA 2011 do Microsoft Windows Production requerem a cooperação do firmware do dispositivo. Uma vez que existe uma grande combinação de hardware e firmware do dispositivo e a Microsoft não consegue testar todas as combinações, recomendamos que teste dispositivos representativos no seu ambiente antes de implementar amplamente. Recomendamos que teste, pelo menos, um dispositivo de cada tipo utilizado na sua organização. Alguns problemas conhecidos do dispositivo que irão bloquear estas mitigações estão documentados como parte do KB5025885: Como gerir as revogações do gestor de arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932. Se detetar um problema de firmware do dispositivo não listado na secção Problemas Conhecidos , trabalhe com o fornecedor do OEM para resolver o problema.

Uma vez que este documento faz referência a vários certificados diferentes, estes são apresentados na tabela seguinte para facilitar a referência e clareza:

ACs antigas de 2011	Novas ACs de 2023 (expirar em 2038)	Função
Microsoft Corporation KEK CA 2011 (expira em julho de 2026)	Microsoft Corporation KEK CA 2023	Assina atualizações DB e DBX
Microsoft Windows Production PCA 2011 (PCA2011) (expira em outubro de 2026)	WINDOWS UEFI CA 2023 (PCA2023)	Assina o bootloader do Windows
Microsoft Corporation UEFI CA 2011 (expira em julho de 2026)	Microsoft UEFI CA 2023 e Microsoft Option ROM UEFI CA 2023	Assina bootloaders de terceiros e ROMs de opção

Existem quatro mitigações que têm de ser aplicadas para proteger contra os ataques descritos em CVE-2023-24932:

• Mitigação 1: Instalar a definição do certificado atualizado (PCA2023) na BD

• Mitigação 2:Atualizar o gestor de arranque no seu dispositivo

• Mitigação 3:Ativar a revogação (PCA2011)

• Mitigação 4:Aplicar a atualização SVN ao firmware

Estas quatro mitigações podem ser aplicadas manualmente a cada um dos dispositivos de teste, seguindo as orientações descritas nas Diretrizes de implementação de mitigação do KB5025885: Como gerir as revogações do gestor de arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932 ou seguindo as orientações neste documento. As quatro mitigações dependem do firmware para funcionar corretamente.

Compreender os seguintes riscos irá ajudá-lo durante o processo de planeamento.

Problemas de Firmware:Cada dispositivo tem firmware fornecido pelo fabricante do dispositivo. Para as operações de implementação descritas neste documento, o firmware tem de ser capaz de aceitar e processar atualizações para a Base de Dados de Arranque Seguro (Base de Dados signature) e DBX (Base de Dados de Assinatura Proibida). Além disso, o firmware é responsável pela validação das aplicações de assinatura ou arranque, incluindo o gestor de arranque do Windows. O firmware do dispositivo é software e, como qualquer software, pode ter defeitos, razão pela qual é importante testar estas operações antes de implementar amplamente.

A Microsoft tem testes contínuos de muitas combinações de dispositivos/firmware, começando pelos dispositivos nos laboratórios e escritórios da Microsoft e a Microsoft está a trabalhar com OEMs para testar os respetivos dispositivos. Quase todos os dispositivos testados passaram sem problemas. Em alguns casos, temos visto problemas com o firmware não processar corretamente as atualizações e estamos a trabalhar com os OEMs para resolver os problemas dos quais estamos cientes.

Instalar Multimédia:Ao aplicar a Mitigação 3 e a Mitigação 4 descritas posteriormente neste documento, qualquer suporte de dados de instalação existente do Windows deixará de ser de arranque até que o suporte de dados tenha um gestor de arranque atualizado. As mitigações descritas neste documento impedem que os gestores de arranque antigos e vulneráveis sejam executados ao não os desfiarem no firmware. Isto impede que um atacante reverta o gestor de arranque do sistema para uma versão anterior e explore as vulnerabilidades presentes em versões mais antigas. Bloquear estes gestores de arranque vulneráveis não deve ter qualquer impacto no sistema em execução. No entanto, impedirá que qualquer suporte de dados de arranque seja iniciado até que os gestores de arranque no suporte de dados sejam atualizados. Isto inclui imagens ISO, unidades USB de arranque e Arranque de rede (arranque PxE e HTTP).

• Mitigação 1: Instalar as definições de certificado atualizadas na BD
  
  Adiciona o novo certificado UEFI CA 2023 do Windows à Base de Dados de Assinatura de Arranque Seguro (DB) ueFI. Ao adicionar este certificado à BD, o firmware do dispositivo irá confiar nas aplicações de arranque do Microsoft Windows assinadas por este certificado.

• Mitigação 2: Atualizar o gestor de arranque no seu dispositivo
  
  Aplica o novo gestor de arranque do Windows assinado com o novo certificado UEFI CA 2023 do Windows.

Estas mitigações são importantes para a capacidade de serviço a longo prazo do Windows nestes dispositivos. Uma vez que o certificado microsoft Windows Production PCA 2011 no firmware irá expirar em outubro de 2026, os dispositivos têm de ter o novo certificado CA 2023 do Windows UEFI no firmware antes da expiração ou o dispositivo deixará de poder receber atualizações do Windows, colocando-o num estado de segurança vulnerável.

Para obter informações sobre como aplicar a Mitigação 1 e a Mitigação 2 em dois passos separados (se quiser ser mais cauteloso, pelo menos no início), consulte KB5025885: Como gerir as revogações do gestor de arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932. Em alternativa, pode aplicar ambas as mitigações ao executar a seguinte operação de chave de registo individual como administrador:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x140 /f

À medida que as mitigações se aplicam, os bits na chave AvailableUpdates serão limpos . Depois de defini-lo para 0x140 e reiniciar, o valor será alterado para 0x100 e, após outro reinício, será alterado para 0x000.

A mitigação do gestor de arranque não será aplicada até que o firmware indique que a mitigação do certificado 2023 foi aplicada com êxito. Estas operações não podem ser efetuadas fora de ordem.

Quando ambas as mitigações são aplicadas, será definida uma chave de registo para indicar que o sistema tem "capacidade para 2023", o que significa que o suporte de dados pode ser atualizado e a Mitigação 3 e a Mitigação 4 podem ser aplicadas.

Na maioria dos casos, a conclusão da Mitigação 1 e da Mitigação 2 requer , pelo menos, dois reinícios antes de as mitigações serem totalmente aplicadas. Adicionar reinícios adicionais no seu ambiente ajudará a garantir que as mitigações são aplicadas mais cedo. No entanto, pode não ser prático injetar artificialmente reinícios adicionais e pode fazer sentido depender dos reinícios mensais que ocorrem como parte da aplicação das atualizações de segurança. Fazê-lo significa menos interrupções no seu ambiente, mas em risco de demorar mais tempo a ficar seguro.

Depois de implementar a Mitigação 1 e a Mitigação 2 nos seus dispositivos, deve monitorizar os seus dispositivos para garantir que têm as mitigações aplicadas e que agora são "compatíveis com 2023". A monitorização pode ser feita ao procurar a seguinte chave de registo no sistema. Se a chave existir e estiver definida como 1, o sistema adicionou o certificado 2023 à variável DB de Arranque Seguro. Se a chave existir e estiver definida como 2, o sistema tem o certificado 2023 na BD e começa com o gestor de arranque assinado em 2023.

Subchave de Registo	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
Nome do Valor da Chave	WindowsUEFICA2023Capable
Tipo de Dados	REG_DWORD
Dados	0 – ou a chave não existe – o certificado "WINDOWS UEFI CA 2023" não está na base de dados 1 - O certificado "WINDOWS UEFI CA 2023" está na base de dados 2 - O certificado "WINDOWS UEFI CA 2023" está na BD e o sistema começa a partir do gestor de arranque assinado em 2023.

Depois de a Mitigação 1 e a Mitigação 2 serem aplicadas aos seus dispositivos, pode atualizar qualquer suporte de dados de arranque que utilize no seu ambiente. Atualizar o suporte de dados de arranque significa aplicar o PCA2023 gestor de arranque assinado ao suporte de dados. Isto inclui atualizar as imagens de arranque de rede (como PxE e HTTP), imagens ISO e unidades USB. Caso contrário, os dispositivos com as mitigações aplicadas não serão iniciados a partir de suportes de dados de arranque que utilizem o gestor de arranque do Windows mais antigo e a AC 2011. ​​​​

Estão disponíveis aqui ferramentas e orientações sobre como atualizar cada tipo de suporte de dados de arranque:

Tipo de Suporte de Dados	Recurso
ISO, pen USB e assim sucessivamente	KB5053484: Atualizar o suporte de dados de arranque do Windows para utilizar o gestor de arranque assinado PCA2023
Servidor de Arranque PXE	Documentação a fornecer mais tarde

Durante o processo de atualização de multimédia, deve testar o suporte de dados com um dispositivo com as quatro mitigações implementadas. As duas mitigações finais bloquearão os gestores de arranque mais velhos e vulneráveis. Ter suportes de dados com os gestores de arranque atuais implementados é uma parte importante da conclusão deste processo.

O suporte de dados de arranque não inclui a unidade de sistema do dispositivo onde o Windows normalmente reside e começa automaticamente. O suporte de dados de arranque é frequentemente utilizado para arrancar um dispositivo que não tem uma versão de arranque do Windows e o suporte de dados de arranque é frequentemente utilizado para instalar o Windows no dispositivo.

As definições de Arranque Seguro ueFI determinam em que gestores de arranque confiar através da Base de Dados de Arranque Seguro (Base de Dados signature) e DBX (Base de Dados de Assinatura Proibida). A BD contém os hashes e chaves para software fidedigno e os hashes e chaves revogados, comprometidos e não fidedignos do DBX para impedir a execução de software não autorizado ou malicioso durante o processo de arranque.

É útil pensar nos diferentes estados em que um dispositivo pode estar e em que suporte de dados de arranque pode ser utilizado com o dispositivo em cada um destes estados. Em todos os casos, o firmware determina se deve confiar no gestor de arranque com o qual é apresentado e, depois de executar o gestor de arranque, a BD e o DBX já não são consultados pelo firmware. Os suportes de dados de arranque podem utilizar um gestor de arranque assinado pela AC de 2011 ou um gestor de arranque assinado pela AC de 2023, mas não ambos. A secção seguinte descreve os estados em que o dispositivo pode estar e, em alguns casos, que suportes de dados podem ser arrancados a partir do dispositivo.

Estes cenários de dispositivos podem ajudar a criar planos para implementar as mitigações nos seus dispositivos.

Novos Dispositivos

Alguns novos dispositivos começaram a ser enviados com as ACs de 2011 e 2023 pré-instaladas no firmware do dispositivo. Nem todos os fabricantes mudaram para ter ambos e ainda podem ser dispositivos de envio com apenas a AC de 2011 pré-instalada.

• Os dispositivos com as ACs de 2011 e 2023 podem iniciar suportes de dados que incluem o gestor de arranque assinado pela AC de 2011 ou o gestor de arranque assinado pela AC de 2023.

• Os dispositivos com apenas a AC de 2011 instalada só podem arrancar suportes de dados com o gestor de arranque assinado pela AC de 2011. A maioria dos meios de comunicação mais antigos incluem o manjedoura de arranque assinado pela AC de 2011.

Dispositivos com Mitigações 1 e 2

Estes dispositivos foram pré-instalados com a AC de 2011 e, ao aplicar a Mitigação 1, têm agora a AC de 2023 instalada. Uma vez que estes dispositivos confiam em ambas as ACs, estes dispositivos podem iniciar o suporte de dados com a AC de 2011 e o gestor de arranque assinado em 2023.

Dispositivos com Mitigações 3 e 4

Estes dispositivos têm a AC de 2011 incluída no DBX e deixarão de confiar nos suportes de dados com um gestor de arranque assinado pela AC de 2011. Um dispositivo com esta configuração só iniciará o suporte de dados com um gestor de arranque assinado pela AC de 2023.

Reposição de Arranque Seguro

Se as definições de Arranque Seguro tiverem sido repostas para os valores predefinidos, quaisquer mitigações que tenham sido aplicadas à BD (adicionando a AC de 2023) e ao DBX (não fidedigna da AC de 2011) poderão já não estar em vigor. O comportamento dependerá das predefinições de firmware.

DBX

Se as Mitigações 3 e/ou 4 tiverem sido aplicadas e o DBX for limpo, a AC de 2011 não estará na lista DBX e continuará a ser considerada fidedigna. Se isto ocorrer, serão necessárias mitigações de reaplicação 3 e/ou 4.

BD

Se a BD contiver a AC de 2023 e for removida ao repor as predefinições de Arranque Seguro, o sistema poderá não arrancar se o dispositivo depender do gestor de arranque assinado pela AC de 2023. Se o dispositivo não arrancar, utilize a ferramenta securebootrecovery.efi descrita no KB5025885: Como gerir as revogações do gestor de arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932 para recuperar o sistema.

• Mitigação 3: Ativar a revogação
  
  Desconfie do certificado PCA 2011 de Produção do Microsoft Windows ao adicioná-lo ao DBX de Arranque Seguro de firmwares. Isto fará com que o firmware não confie em todos os gestores de arranque assinados pela AC de 2011 e em qualquer suporte de dados que dependa do gestor de arranque assinado pela AC de 2011.

• Mitigação 4: Aplicar a atualização do Número de Versão Segura ao firmware
  
  Aplica a atualização do Número de Versão Segura (SVN) ao DBX de Arranque Seguro de firmware. Quando um gestor de arranque assinado em 2023 começa a ser executado, efetua uma verificação automática ao comparar a SVN armazenada no firmware com a SVN incorporada no gestor de arranque. Se a SVN do gestor de arranque for inferior à SVN de firmware, o gestor de arranque não será executado. Esta funcionalidade impede que um atacante reverta o gestor de arranque para uma versão mais antiga e não atualizada. Para futuras atualizações de segurança para o gestor de arranque, a SVN será incrementada e a Mitigação 4 terá de ser reaplicada.

Importante A Mitigação 1 e a Mitigação 2 têm de ser concluídas antes de aplicar a Mitigação 3 e a Mitigação 4.

Para obter informações sobre como aplicar a Mitigação 3 e a Mitigação 4 em dois passos separados (se quiser ser mais cauteloso, pelo menos no início), consulte KB5025885: Como gerir as revogações do gestor de arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932 Ou pode aplicar ambas as mitigações ao executar a seguinte operação de chave de registo única como Administrador:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x280 /f

A aplicação de ambas as mitigações em conjunto exigirá apenas um reinício para concluir a operação.

• Mitigação 3: Pode verificar se a lista de revogação foi aplicada com êxito ao procurar o ID do Evento: 1037 no registo de eventos, por KB5016061: eventos de atualização de variáveis DBX e DBX de Arranque Seguro.
  
  Em alternativa, pode executar o seguinte comando do PowerShell como Administrador e certificar-se de que devolve Verdadeiro:

  [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'​​​​​​​

• Mitigação 4: Um método para confirmar que a definição de SVN foi aplicada ainda não existe. Esta secção será atualizada quando estiver disponível uma solução.