KB4535680: Actualizare de securitate pentru Secure Boot DBX: 12 ianuarie 2021

Problemă

Soluție de evitare

Este posibil ca unele firmware-ul producătorului de echipamente original (OEM) să nu permită instalarea acestei actualizări.

Pentru a rezolva această problemă, contactați producătorul OEM de firmware.

Dacă BitLocker Politică de grup Configurați profilul de validare al platformei TPM pentru configurațiile firmware UEFI native este activat și PCR7 este selectat prin politică, acest lucru poate duce la necesitatea cheii de recuperare BitLocker pe unele dispozitive în care legarea PCR7 nu este posibilă.

Pentru a vizualiza starea legării PCR7, rulați instrumentul Microsoft System Information (Msinfo32.exe) cu permisiuni administrative.

Pentru a rezolva această problemă, alegeți una dintre următoarele variante pe baza configurației protecției acreditărilor înainte de a implementa această actualizare:

• Pe un dispozitiv care nu are Activat Credential Gard, rulați următoarea comandă dintr-o linie de comandă Administrator pentru a suspenda BitLocker pentru un ciclu de repornire:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Apoi reporniți dispozitivul pentru a relua protecția BitLocker.
  
  Notă Nu activați protecția BitLocker fără a reporni suplimentar dispozitivul, deoarece ar duce la recuperarea BitLocker.

• Pe un dispozitiv care are Activat Credential Guard, pot exista mai multe reporniri în timpul actualizării care necesită suspendarea BitLocker. Rulați următoarea comandă dintr-o linie de comandă Administrator pentru a suspenda BitLocker pentru 3 cicluri de repornire. Manage-bde –Protectors –Disable C: -RebootCount 3

  Se așteaptă ca această actualizare să repornească sistemul de două ori. Reporniți dispozitivul încă o dată pentru a relua protecția BitLocker.

  Notă Nu activați protecția BitLocker fără repornire suplimentară, deoarece ar duce la recuperarea BitLocker.

Puteți introduce recuperare BitLocker dacă setările de politică de grup BitLocker conflictuale sunt configurate după ce BitLocker a fost activat în mediu. Recuperarea BitLocker poate fi declanșată din cauza oricăreia dintre setările de Politică de grup de mai jos:

• Impuneți configurarea explicită a legăturilor PCR care diferă de ceea ce este deja ales de BitLocker.

• Configurarea opțiunii GP "Permiteți bootarea sigură pentru validarea integrității" pentru a dezactiva bootarea sigură pentru validarea integrității, dar BitLocker utilizează deja bootarea securizată (PCR7).

• Configurarea Politică de grup la Se solicită autentificare suplimentară în timpul pornirii, dar BitLocker a fost configurat înainte de a implementa această politică de grup.

Dacă această actualizare a fost deja aplicată și dispozitivul nu a repornit, suspendați BitLocker și reporniți după ce urmați pașii de mai jos:

• Dacă o configurație PCR explicită a fost setată prin politica de grup sau o politică este configurată să nu permită utilizarea bootării securizate pentru validarea integrității, suspendați și reluați BitLocker pentru a șterge conflictele GP.

• Dacă politica Solicitați autentificare suplimentară în timpul pornirii este configurată să solicite TPM și PIN, rulați următoarea comandă dintr-o linie de comandă administrativă și introduceți codul PIN dorit: manage-bde -protectors -add c: -TPMAndPin

• Dacă politica Solicitați autentificare suplimentară în timpul pornirii este configurată să solicite o cheie de pornire, executați următoarea comandă pentru a crea cheia de pornire: manage-bde -protectors -add c: -tpmandstartupkey <cale către directorul de chei externe>

• Dacă politica Solicitați autentificare suplimentară în timpul pornirii este configurată să solicite tasta de pornire și să fixeze, executați următoarea comandă de la Admin linie de comandă pentru a crea cheia de fixare și de pornire. Atunci când vi se solicită, introduceți codul PIN dorit: manage-bde -protectors -add c: -tpmandpinandstartupkey <cale către directorul de chei externe>

Este posibil ca această actualizare să nu se instaleze pe dispozitive cu un fișier manager de bootare nesemnat, care nu este Microsoft bootx64.efi.  Este posibil ca această actualizare să fie oferită și reofferată prin Windows Update, dar este posibil să nu se instaleze.  Atunci când încercați să instalați manual această actualizare, este posibil să primiți o eroare, "Unele actualizări nu au fost instalate" listează KB4565680.  De asemenea, puteți verifica fișierul jurnal CBS în %systemroot%\logs\cbs pentru următoarea eroare: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Eroarea TRUST_E_NOSIGNATURE își are originea în funcția Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Lucrăm la o rezolvare și estimăm că va fi disponibilă o soluție pentru versiunea Windows 10, versiunea 1909, Windows 10, versiunea 2004 și Windows 10, versiunea 20H2 la sfârșitul lunii martie.  Se estimează că versiunile de Windows acceptate rămase vor avea o soluție disponibilă la jumătatea lunii aprilie.

Pentru instrucțiuni suplimentare înainte de lansarea rezoluției, contactați producătorul dispozitivului (OEM).