Îndrumări privind implementarea întreprinderii pentru CVE-2023-24932

Am împărțit implementarea în mai mulți pași care pot fi realizați într-o cronologie care funcționează pentru organizația dvs. Ar trebui să vă familiarizați cu acești pași. După ce înțelegeți pașii, ar trebui să luați în considerare modul în care vor funcționa aceștia în mediul dvs. și să pregătiți planurile de implementare care funcționează pentru întreprinderea dvs. în cronologia dvs.

Adăugarea noului certificat Windows UEFI CA 2023 și a certificatului Microsoft Windows Production PCA 2011 necesită cooperarea cu firmware-ul dispozitivului. Deoarece există o combinație mare de hardware și firmware de dispozitiv, iar Microsoft nu poate testa toate combinațiile, vă încurajăm să testați dispozitivele reprezentative din mediul dvs. înainte de a implementa pe scară largă. Vă recomandăm să testați cel puțin un dispozitiv de fiecare tip utilizat în organizația dvs. Unele probleme cunoscute ale dispozitivului care vor bloca aceste atenuări sunt documentate ca parte a KB5025885: Cum se gestionează revocările managerului de boot Windows pentru modificările bootării securizate asociate cu CVE-2023-24932. Dacă detectați o problemă de firmware de dispozitiv care nu este listată în secțiunea Probleme cunoscute , colaborați cu furnizorul OEM pentru a rezolva problema.

Deoarece acest document face referire la mai multe certificate diferite, acestea sunt prezentate în tabelul următor pentru o referință și mai multă claritate:

Vechi 2011 CA-uri	Cv-uri noi 2023 (expiră în 2038)	Funcție
Microsoft Corporation KEK CA 2011 (expiră în iulie 2026)	Microsoft Corporation KEK CA 2023	Actualizări Signs DB și DBX
Microsoft Windows Production PCA 2011 (PCA2011) (expiră în octombrie 2026)	Windows UEFI CA 2023 (PCA2023)	Semnează bootloaderul Windows
Microsoft Corporation UEFI CA 2011 (expiră în iulie 2026)	Microsoft UEFI CA 2023 și Microsoft Option ROM UEFI CA 2023	Semnează bootloader-uri de la terți și romuri opțiune

Există patru atenuări care trebuie aplicate pentru a vă proteja împotriva atacurilor descrise în CVE-2023-24932:

• Atenuare 1: Instalați definiția certificatului actualizat (PCA2023) în baza de date

• Atenuare 2:Actualizați managerul de boot pe dispozitivul dvs.

• Atenuare 3:Activați revocarea (PCA2011)

• Atenuare 4:Aplicați actualizarea SVN la firmware

Aceste patru atenuări pot fi aplicate manual pentru fiecare dintre dispozitivele de testare, urmând instrucțiunile descrise în îndrumările de implementare a atenuăriidin KB5025885: Cum să gestionați revocările managerului de boot Windows pentru modificările bootării securizate asociate cu CVE-2023-24932 sau urmând instrucțiunile din acest document. Toate cele patru atenuări se bazează pe firmware pentru a funcționa corect.

Înțelegerea următoarelor riscuri vă va ajuta în timpul procesului de planificare.

Probleme de firmware:Fiecare dispozitiv are firmware furnizat de producătorul dispozitivului. Pentru operațiunile de implementare descrise în acest document, firmware-ul trebuie să poată accepta și procesa actualizări la Secure Boot DB (Signature Database) și DBX (Forbidden Signature Database). În plus, firmware-ul este responsabil pentru validarea aplicațiilor de semnătură sau de boot, inclusiv a managerului de boot Windows. Firmware-ul dispozitivului este software și, la fel ca orice software, poate avea defecte, de aceea este important să testați aceste operațiuni înainte de a implementa pe scară largă.

Microsoft testează continuu multe combinații de dispozitive/firmware, începând cu dispozitivele din laboratoarele și birourile Microsoft, iar Microsoft lucrează cu producători OEM pentru a-și testa dispozitivele. Aproape toate dispozitivele testate au trecut fără probleme. În câteva cazuri, am observat probleme cu firmware-ul care nu gestionează corect actualizările și lucrăm cu producătorii OEM pentru a rezolva problemele pe care le cunoaștem.

Instalare suport media:Prin aplicarea Mitigation 3 și Mitigation 4 descrise mai jos în acest document, orice suport media de instalare Windows existent nu va mai fi bootabil până când suportul media are un manager de boot actualizat. Atenuările descrise în acest document împiedică managerii de boot vechi și vulnerabili să ruleze, necredându-i în firmware. Acest lucru împiedică un atacator să readuceți managerul de bootare a sistemului la o versiune anterioară și să exploatați vulnerabilitățile prezente în versiunile mai vechi. Blocarea acestor manageri vulnerabili de boot nu ar trebui să aibă niciun impact asupra sistemului care rulează. Cu toate acestea, va împiedica pornirea oricărui suport fizic bootabil până la actualizarea managerilor de boot pe suportul fizic. Printre acestea se numără imagini ISO, unități USB bootabile și bootare în rețea (bootare PxE și HTTP).

• Atenuare 1: Instalați definițiile de certificate actualizate pe baza de date
  
  Adaugă noul certificat Windows UEFI CA 2023 la baza de date UEFI Secure Boot Signature (DB). Prin adăugarea acestui certificat la DB, firmware-ul dispozitivului va avea încredere în aplicațiile de boot Microsoft Windows semnate de acest certificat.

• Atenuare 2: actualizați managerul de boot pe dispozitivul
  
  dvs. Aplică noul manager de boot Windows semnat cu noul certificat Windows UEFI CA 2023.

Aceste atenuări sunt importante pentru service-ul pe termen lung al Windows pe aceste dispozitive. Deoarece certificatul Microsoft Windows Production PCA 2011 din firmware va expira în octombrie 2026, dispozitivele trebuie să aibă noul certificat Windows UEFI CA 2023 în firmware înainte de expirare sau dispozitivul nu va mai putea primi actualizări Windows, punând-l într-o stare de securitate vulnerabilă.

Pentru informații despre cum să aplicați Atenuarea 1 și Atenuarea 2 în doi pași separați (dacă doriți să fiți mai precaut, cel puțin la început), consultați KB5025885: Cum să gestionați revocările managerului de boot Windows pentru modificările bootării securizate asociate cu CVE-2023-24932. Sau puteți aplica ambele atenuări rulând următoarea operațiune cu cheia de registry unică ca administrator:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x140 /f

Pe măsură ce se aplică atenuările, biții din cheia AvailableUpdates vor fi goliți . După setarea acesteia la 0x140 și repornire, valoarea se va modifica în 0x100 apoi, după o altă repornire, se va modifica în 0x000.

Atenuarea managerului de boot nu va fi aplicată până când firmware-ul indică faptul că atenuarea certificatului 2023 este aplicată cu succes. Aceste operațiuni nu pot fi efectuate în afara ordinii.

Atunci când se aplică ambele atenuări, va fi setată o cheie de registry pentru a indica faptul că sistemul este "capabil de 2023", ceea ce înseamnă că conținutul media poate fi actualizat și se pot aplica Atenuarea 3 și Atenuarea 4.

În majoritatea cazurilor, finalizarea atenuării 1 și Atenuarea 2 necesită cel puțin două reporniri înainte ca atenuările să fie aplicate complet. Adăugarea de reporniri suplimentare în mediul dvs. va asigura că atenuările se aplică mai devreme. Cu toate acestea, poate că nu este practic să injectați artificial reporniri suplimentare și poate avea sens să vă bazați pe repornirile lunare care apar ca parte a aplicării actualizărilor de securitate. Acest lucru înseamnă mai puține întreruperi în mediul dvs., dar cu riscul de a vă securiza mai mult timp.

După implementarea atenuării 1 și a atenuării 2 pentru dispozitivele dvs., ar trebui să vă monitorizați dispozitivele pentru a vă asigura că au aplicate atenuările și că acum sunt capabile de "2023". Monitorizarea poate fi efectuată căutând următoarea cheie de registry din sistem. Dacă cheia există și este setată la 1, atunci sistemul a adăugat certificatul 2023 la variabila Secure Boot DB. Dacă cheia există și este setată la 2, atunci sistemul are certificatul 2023 în baza de date și începe cu managerul de boot semnat 2023.

Subcheie de registry	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
Nume valoare cheie	WindowsUEFICA2023Capable
Tip de date	REG_DWORD
Date	0 - sau cheia nu există - Certificatul "Windows UEFI CA 2023" nu se află în baza de date 1 - Certificatul "Windows UEFI CA 2023" se află în baza de date 2 - Certificatul "Windows UEFI CA 2023" se află în baza de date și sistemul pornește de la managerul de boot semnat 2023.

După ce se aplică Atenuare 1 și Atenuare 2 pentru dispozitivele dvs., puteți actualiza orice suport bootabil pe care îl utilizați în mediul dvs. Actualizarea suportului fizic bootabil înseamnă aplicarea managerului de boot semnat PCA2023 pe suport. Aceasta include actualizarea imaginilor de boot de rețea (cum ar fi PxE și HTTP), a imaginilor ISO și a unităților USB. În caz contrar, dispozitivele cu atenuări aplicate nu vor porni de la suportul de boot care utilizează managerul de boot Windows mai vechi și sistemul de operare 2011. ​​​​

Instrumente și instrucțiuni despre cum să actualizați fiecare tip de suport bootabil sunt disponibile aici:

Tip media	Resursă
Unități ISO, USB și așa mai departe	KB5053484: Se actualizează suportul bootabil Windows pentru a utiliza managerul de boot semnat PCA2023
PXE Boot Server	Documentația care va fi furnizată mai târziu

În timpul procesului de actualizare media, trebuie să testați suportul media cu un dispozitiv care are toate cele patru atenuări. Ultimele două atenuări vor bloca managerii de boot mai vechi, vulnerabili. Existența unui suport media cu manageri de boot curenți este o parte importantă a finalizării acestui proces.

Suportul bootabil nu include unitatea de sistem a dispozitivului pe care se află de obicei Windows și pornește automat. Suportul bootabil este utilizat de obicei pentru a boota un dispozitiv care nu are o versiune bootabilă de Windows, iar suportul fizic bootabil este utilizat adesea pentru a instala Windows pe dispozitiv.

Setările UEFI Secure Boot determină ce manageri de boot să aibă încredere, utilizând Secure Boot DB (Signature Database) și DBX (Forbidden Signature Database). Baza de date conține hashurile și cheile pentru software-ul de încredere, iar DBX stochează coduri hash și chei revocate, compromise și neletate de încredere, pentru a împiedica rularea software-ului neautorizat sau rău intenționat în timpul procesului de boot.

Este util să vă gândiți la diferitele stări în care poate fi un dispozitiv și la ce suport bootabil poate fi utilizat cu dispozitivul în fiecare dintre aceste stări. În toate cazurile, firmware-ul determină dacă ar trebui să aibă încredere în managerul de boot în care este prezentat și, după ce rulează managerul de boot, DB și DBX nu mai sunt consultate de firmware. Suportul bootabil poate utiliza fie un manager de boot semnat CA 2011, fie un manager de boot semnat ca 2023, dar nu ambele. Secțiunea următoare descrie stările în care poate fi dispozitivul și, în unele cazuri, elementele media care pot fi bootate de pe dispozitiv.

Aceste scenarii de dispozitiv vă pot ajuta atunci când creați planuri pentru implementarea atenuării pe dispozitivele dvs.

Dispozitive noi

Unele dispozitive noi au început să fie livrate atât cu versiunile CA 2011, cât și 2023 preinstalate în firmware-ul dispozitivului. Nu toți producătorii au comutat pentru a le avea pe ambele și este posibil să fie încă dispozitive de expediere doar cu ca 2011 preinstalat.

• Dispozitivele cu CA 2011 și 2023 pot porni fișiere media care includ fie managerul de boot semnat CA 2011, fie managerul de boot semnat ca din 2023.

• Dispozitivele cu doar versiunea 2011 instalată pot boota doar suportul fizic cu managerul de boot semnat CA 2011. Cele mai multe elemente media mai vechi includ manager de boot semnat CA 2011.

Dispozitive cu atenuări 1 și 2

Aceste dispozitive au fost preinstalate cu CA 2011 și, aplicând Mitigation 1, au acum ca 2023 instalată. Deoarece aceste dispozitive au încredere în ambele CA-uri, aceste dispozitive pot porni atât suportul media cu CA 2011, cât și managerul de boot semnat 2023.

Dispozitive cu atenuări 3 și 4

Aceste dispozitive au CA 2011 inclus în DBX și nu vor mai avea încredere în elementele media cu un manager de boot semnat CA 2011. Un dispozitiv cu această configurație va porni doar elementele media cu un manager de boot semnat CA 2023.

Resetare bootare securizată

Dacă setările Secure Boot au fost resetați la valorile implicite, este posibil ca orice atenuări care au fost aplicate bazei de date (adăugând ca 2023) și DBX (care nu prezintă încredere în CA 2011) să nu mai fie aplicate. Comportamentul va depinde de valorile implicite ale firmware-ului.

DBX

Dacă mitigations 3 și/or 4 au fost aplicate și DBX este golit, atunci ca 2011 nu va fi pe lista DBX și va fi în continuare de încredere. Dacă se întâmplă acest lucru, va fi necesară reaplicarea atenuările 3 și/sau 4.

DB

Dacă baza de date conținea ca 2023 și aceasta este eliminată prin resetarea setărilor Secure Boot la valorile implicite, este posibil ca sistemul să nu booteze dacă dispozitivul se bazează pe managerul de boot semnat CA 2023. Dacă dispozitivul nu pornește, utilizați instrumentul securebootrecovery.efi descris în KB5025885: Cum să gestionați revocările managerului de boot Windows pentru modificările secure boot asociate cu CVE-2023-24932 pentru a recupera sistemul.

• Atenuare 3: activați revocarea
  
  Nu este de încredere certificatul Microsoft Windows Production PCA 2011, adăugându-l la firmware-urile Secure Boot DBX. Acest lucru va face ca firmware-ul să nu acorde încredere tuturor managerilor de boot semnat ca 2011 și orice suport media care se bazează pe managerul de boot semnat CA 2011.

• Atenuare 4: Aplicați actualizarea numărului de versiune securizat la firmware
  
  Aplică actualizarea Secure Version Number (SVN) la firmware-urile Secure Boot DBX. Atunci când un manager de boot semnat 2023 începe să ruleze, efectuează o auto-verificare prin compararea SVN stocate în firmware cu SVN încorporat în managerul de boot. Dacă managerul de boot SVN este mai mic decât firmware-ul SVN, managerul de boot nu va rula. Această caracteristică împiedică un atacator să readucerea managerului de boot la o versiune mai veche, neactualizată. Pentru viitoarele actualizări de securitate ale managerului de boot, SVN va fi incrementat, iar Atenuarea 4 va trebui reaplicată.

Important Atenuarea 1 și Atenuarea 2 trebuie finalizate înainte de a aplica Atenuarea 3 și Atenuarea 4.

Pentru informații despre cum să aplicați Atenuarea 3 și Atenuarea 4 în doi pași separați (dacă doriți să fiți mai precaut, cel puțin la început), consultați KB5025885: Cum să gestionați revocările managerului de boot Windows pentru modificările bootării securizate asociate cu CVE-2023-24932 Sau puteți aplica ambele atenuări rulând următoarea operațiune cu cheia de registry unică ca Administrator:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x280 /f

Aplicarea ambelor atenuări împreună va necesita o singură repornire pentru a finaliza operațiunea.

• Atenuare 3: Puteți verifica dacă lista de revocare a fost aplicată cu succes căutând ID-ul de eveniment: 1037 în jurnalul de evenimente, per KB5016061: evenimente de actualizare a variabilei Secure Boot DB și DBX.
  
  Alternativ, puteți să rulați următoarea comandă PowerShell ca administrator și să vă asigurați că returnează True:

  [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'​​​​​​​

• Atenuare 4: O metodă pentru a confirma că setarea SVN a fost aplicată nu există încă. Această secțiune va fi actualizată atunci când va fi disponibilă o soluție.