KB5025885: Cum se gestionează revocările Managerului de boot Windows pentru modificările secure boot asociate cu CVE-2023-24932

În acest articol

• Rezumat

  • Acționați

  • Domeniul de aplicare al impactului

  • Înțelegerea riscurilor

  • Probleme cunoscute

• Instrucțiuni pentru această ediție

• Îndrumări pentru implementarea atenuării

• Suport bootabil

• Actualizarea suportului de instalare Windows

• Temporizarea actualizărilor

• Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

• Întrebări frecvente (Întrebări frecvente)

• Depanarea problemelor de boot

• Procedură de recuperare

• Referințe

• Jurnal de modificări

Rezumat

Acest articol descrie protecția împotriva omiterii caracteristicii de securitate Secure Boot dezvăluită public care utilizează bootkitul BlackLotus UEFI urmărit de CVE-2023-24932, cum să activați atenuările și instrucțiuni privind suportul bootabil. Un bootkit este un program rău intenționat care este proiectat să se încarce cât mai curând posibil într-o secvență de bootare a dispozitivelor pentru a controla pornirea sistemului de operare.

Bootarea securizată este recomandată de Microsoft pentru a stabili o cale sigură și de încredere de la Unified Extensible Firmware Interface (UEFI) prin secvența boot de încredere a kernelului Windows. Secure Boot contribuie la prevenirea malware-ului bootkit în secvența de boot. Dezactivarea bootului securizat pune un dispozitiv în pericol de a fi infectat cu malware bootkit. Remedierea bypass-ului secure boot descris în CVE-2023-24932 necesită revocarea managerilor de boot. Acest lucru poate cauza probleme pentru unele configurații de bootare a dispozitivului.

Atenuările împotriva ocolirii secure boot detaliate în CVE-2023-24932 sunt incluse în actualizările de securitate Windows care au fost lansate la sau după 9 aprilie 2024. Totuși, aceste atenuări nu sunt activate în mod implicit. Cu aceste actualizări, vă recomandăm să începeți să evaluați aceste modificări în mediul dvs. Planificarea completă este descrisă în secțiunea Temporizarea actualizărilor .

Înainte de a activa aceste atenuări, ar trebui să revizuiți cu atenție detaliile din acest articol și să determinați dacă trebuie să activați atenuările sau să așteptați o actualizare viitoare de la Microsoft. Dacă alegeți să activați atenuările, trebuie să verificați dacă dispozitivele dvs. sunt actualizate și gata și să înțelegeți riscurile descrise în acest articol. 

Instrucțiuni pentru această ediție

Pentru această versiune, urmați acești doi pași.

Pasul 1: Instalați actualizarea

de securitate Windows Instalați actualizarea de securitate lunară Windows lansată pe sau după 9 aprilie 2024, pe dispozitivele Windows acceptate. Aceste actualizări includ atenuări pentru CVE-2023-24932, dar nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să parcurgă acest pas, indiferent dacă intenționați sau nu să implementați atenuările.

Pasul 2: Evaluați modificările

Vă încurajăm să procedați astfel:

• Înțelegeți primele două atenuări care permit actualizarea Secure Boot DB și actualizarea managerului de boot.

• Revizuiți planificarea actualizată.

• Începeți testarea primelor două atenuări pe dispozitivele reprezentative din mediul dvs.

• Începeți planificarea pentru faza de implementare începând cu 9 iulie 2024.

Pasul 3: Impuneți modificările

Vă încurajăm să înțelegeți riscurile prezentate în secțiunea Înțelegerea riscurilor.

• Înțelegeți impactul asupra recuperării și a altor suporturi bootabile.

• Începeți testarea celei de-a treia atenuări care nu prezintă încredere în certificatul de semnare utilizat pentru toți managerii de boot Windows anteriori.

Îndrumări pentru implementarea atenuării

Înainte de a urma acești pași pentru aplicarea atenuării, instalați actualizarea lunară de servicii Windows lansată la sau după 9 aprilie 2024, pe dispozitivele Windows acceptate. Această actualizare include atenuări pentru CVE-2023-24932, dar acestea nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să parcurgă acest pas indiferent de planul dvs. de activare a atenuării.

Pentru a implementa actualizarea și a aplica revocările, urmați acești pași:

1. Instalați definițiile de certificate actualizate în baza de date.

   Acest pas va adăuga certificatul "Windows UEFI CA 2023" la UEFI "Secure Boot Signature Database" (DB). Prin adăugarea acestui certificat la DB, firmware-ul dispozitivului va avea încredere în aplicațiile de boot semnate de acest certificat.

   1. Deschideți o linie de comandă Administrator și setați cheia de registry pentru a efectua actualizarea la DB, introducând următoarea comandă:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANT Asigurați-vă că reporniți dispozitivul de două ori pentru a finaliza instalarea actualizării înainte de a trece la pașii 2 și 3.

   2. Rulați următoarea comandă PowerShell ca administrator și verificați dacă baza de date a fost actualizată cu succes. Această comandă ar trebui să returneze True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Actualizați Managerul de boot pe dispozitiv.

   Acest pas va instala o aplicație manager de boot pe dispozitivul dvs., care este semnată cu certificatul "Windows UEFI CA 2023".

   1. Deschideți o linie de comandă Administrator și setați cheia regkey pentru a instala managerul de boot semnat "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reporniți dispozitivul de două ori.

   3. Ca administrator, montați partiția EFI pentru a o pregăti pentru inspecție:

      mountvol s: /s

   4. Validați faptul că fișierul "s:\efi\microsoft\boot\bootmgfw.efi" este semnat de certificatul "Windows UEFI CA 2023". Pentru a face acest lucru, urmați acești pași:

      1. Faceți clic pe Start, tastați linie de comandă în caseta Căutare, apoi faceți clic pe Linie de comandă.

      2. În fereastra Linie de comandă , tastați următoarea comandă, apoi apăsați pe Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. În Manager fișiere, faceți clic dreapta pe fișierul C:\bootmgfw_2023.efi, faceți clic pe Proprietăți, apoi selectați fila Semnături digitale .

      4. În lista Semnătură, confirmați că lanțul de certificate include Windows UEFI CA 2023. Lanțul de certificate ar trebui să corespundă următoarei capturi de ecran:
         
         

3. Activați revocarea.

   Lista de permisiuni UEFI (DBX) este utilizată pentru a bloca încărcarea modulelor UEFI care nu sunt de încredere. În acest pas, actualizarea DBX va adăuga certificatul "Windows Production CA 2011" la DBX. Acest lucru va face ca toți managerii de boot semnate de acest certificat să nu mai fie de încredere.

   AVERTISMENT: Înainte de a aplica a treia atenuare, creați o unitate flash de recuperare care poate fi utilizată pentru a boota sistemul. Pentru informații despre cum să faceți acest lucru, consultați secțiunea Actualizarea suportului media de instalare Windows.

   Dacă sistemul intră într-o stare ne bootabilă, urmați pașii din secțiunea Procedură de recuperare pentru a reseta dispozitivul la o stare de pre-revocare.

   1. Adăugați certificatul "Windows Production PCA 2011" la Lista de bootare securizată UEFI interzisă (DBX). Pentru a face acest lucru, deschideți o fereastră linie de comandă ca administrator, tastați următoarea comandă, apoi apăsați pe Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reporniți dispozitivul de două ori și confirmați că a repornit complet.

   3. Verificați dacă lista de instalare și revocare a fost aplicată cu succes căutând evenimentul 1037 în jurnalul de evenimente.
      
      Pentru informații despre evenimentul 1037, consultați KB5016061: Evenimente de actualizare a variabilei Secure Boot DB și DBX. Sau rulați următoarea comandă PowerShell ca Administrator și asigurați-vă că returnează True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Suport bootabil

Va fi important să actualizați suportul bootabil după începerea Fazei de implementare în mediul dvs. Instrucțiunile și instrumentele pentru actualizarea elementelor media vor fi furnizate la timp pentru Faza de implementare. Faza de implementare este programată să înceapă pe 9 iulie 2024.

Exemple de suporturi bootabile și suporturi de recuperare afectate de această problemă:

• Suport bootabil creat utilizând Creați o unitate de recuperare.

• Copiile backup ale Windows care au fost imagine înainte de aplicarea atenuării. Acestea nu vor putea fi activate direct pentru a restaura instalarea Windows după ce revocările au fost activate pe dispozitivul dvs.

• CD/DVD particularizat sau partiție de recuperare creată de dvs., de producătorul dispozitivului (OEM) sau de întreprinderi.

• ISO (prin descărcare sau utilizând ADK).

• Boot de rețea:

  • Servicii de implementare Windows.

  • Servicii de bootare a mediului de execuție preboot (servicii de bootare PXE).

  • Kit de instrumente de implementare Microsoft.

  • Boot HTTPS.

• Suport fizic de instalare și recuperare OEM.

• Media Windows oficial de la Microsoft, inclusiv:

  • Mass-media de vânzare cu amănuntul.

  • Instrumentul de creare a suporturilor fizice (ISO sau unitate USB).

  • VLSC.

  • Descărcări pentru abonații Visual Studio.

  • unitate USB.

• Windows PE.

• Windows instalat pe hardware fizic sau pe mașini virtuale.

• Sistem de operare de validare Windows.

Dacă utilizați un suport fizic bootabil cu un dispozitiv Windows personal, poate fi necesar să efectuați una sau mai multe dintre următoarele acțiuni înainte de a aplica revocările:

• Dacă utilizați software de backup personal pentru a salva conținutul dispozitivului, asigurați-vă că rulați o copie backup completă după aplicarea atenuării din 9 aprilie 2024.

• Dacă utilizați o imagine de disc bootabil (ISO), un CD-ROM sau un suport DVD, actualizați suportul media urmând instrucțiunile care urmează să fie furnizate la o dată ulterioară.

Enterprise

• Consultați instrucțiuni și scripturi cuprinzătoare pentru Actualizarea suportului de instalare Windows cu actualizare dinamică.

• Dacă acceptați scenarii de bootare sau recuperare în rețea în mediul dvs., va trebui să actualizați toate fișierele media și imaginile. Aceasta poate include următoarele opțiuni de boot sau recuperare:

  • Kit de instrumente de implementare Microsoft.

  • Microsoft Endpoint Configuration Manager.

  • Servicii de implementare Windows.

  • Bootare PxE.

  • Boot HTTPS și alte scenarii de boot de rețea.

• O modalitate de a face acest lucru este să utilizați instalarea pachetului offline DISM pe imaginile servite de aceste scenarii. Printre acestea se numără actualizarea fișierelor de boot oferite de aceste servicii.

• Dacă utilizați software de backup pentru a salva conținutul instalării Windows într-o imagine de recuperare, asigurați-vă că rulați o copie backup completă după aplicarea atenuării din 9 aprilie 2024. Nu uitați să faceți backup partițiilor de disc EFI, în plus față de partiția sistemului de operare Windows. Identificați în mod clar copiile backup efectuate înainte de a aplica atenuările din 9 aprilie 2024 față de cele efectuate după aplicarea atenuării.

Windows PC OEM

• Consultați instrucțiuni și scripturi cuprinzătoare pentru Actualizarea suportului de instalare Windows cu actualizare dinamică.

Actualizarea suportului de instalare Windows

Puteți utiliza aplicația Creare unitate de recuperare urmând acești pași. Acest suport fizic poate fi utilizat pentru a reinstala un dispozitiv în cazul în care există o problemă majoră, cum ar fi o eroare de hardware, veți putea utiliza unitatea de recuperare pentru a reinstala Windows.

1. Accesați un dispozitiv pe care au fost aplicate actualizările din 9 aprilie 2024 și primul pas de atenuare (actualizarea Secure Boot DB).

2. Din meniul Start, căutați appletul "Creați o unitate de recuperare" din panoul de control și urmați instrucțiunile pentru a crea o unitate de recuperare.

3. Cu unitatea flash nou creată montată (de exemplu, ca unitate "D:"), rulați următoarele comenzi ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă gestionați suportul fizic instalabil în mediul dvs. utilizând suportul de instalare Actualizare Windows cu instrucțiuni privind actualizarea dinamică , urmați acești pași. Acești pași suplimentari vor crea o unitate flash bootabilă care utilizează fișiere de boot semnate de certificatul de semnare "Windows UEFI CA 2023".

1. Accesați un dispozitiv pe care s-au aplicat 9 aprilie 2024, actualizări și primul pas de atenuare (actualizarea Secure Boot DB).

2. Urmați pașii din linkul de mai jos pentru a crea conținut media cu actualizările din 9 aprilie 2024. Actualizarea suportului de instalare Windows cu Actualizare dinamică

3. Plasați conținutul suportului media pe o unitate USB și montați unitatea USB ca literă de unitate. De exemplu, montați unitatea usb ca "D:".

4. Rulați următoarele comenzi dintr-o fereastră de comandă ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă un dispozitiv are setările Secure Boot resetat la valorile implicite după aplicarea atenuării, dispozitivul nu se va boota. Pentru a rezolva această problemă, o aplicație de reparare este inclusă cu actualizările din 9 aprilie 2024 care pot fi utilizate pentru a reaplica certificatul "Windows UEFI CA 2023" la DB (atenuare nr. 1).

1. Accesați un dispozitiv pe care au fost aplicate actualizările din 9 aprilie 2024.

2. Într-o fereastră de comandă, copiați aplicația de recuperare pe unitatea flash utilizând următoarele comenzi (presupunând că unitatea flash este unitatea "D:"). Tastați fiecare comandă separat, apoi apăsați pe Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Pe dispozitivul care are setările Secure Boot resetați la valorile implicite, introduceți unitatea flash, reporniți dispozitivul și bootați de pe unitatea flash.

Temporizarea actualizărilor

Actualizări sunt lansate după cum urmează:

• Implementare inițială Această fază a început cu actualizările lansate pe 9 mai 2023 și a furnizat atenuări de bază cu pași manuali pentru a activa aceste atenuări.

• A doua implementare Această fază a început cu actualizările lansate pe 11 iulie 2023, care a adăugat pași simplifică pentru a permite atenuările pentru problemă.

• Fază de evaluare Această fază va începe la 9 aprilie 2024 și va adăuga atenuări suplimentare ale managerului de boot.

• Faza finală de implementare Acest lucru se va întâmpla atunci când îi vom încuraja pe toți clienții să înceapă să implementeze atenuările și să actualizeze conținutul media.

• Faza de impunere Faza de impunere care va face atenuările permanente. Data pentru această etapă va fi anunțată la o dată ulterioară.

Notă Programul de lansare poate fi revizuit după cum este necesar.

Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

Intrările din jurnalul de evenimente Windows legate de actualizarea DB și DBX sunt descrise în detaliu în KB5016061: evenimente de actualizare a variabilei Secure Boot DB și DBX.

Evenimentele "reușite" legate de aplicarea atenuării sunt listate în tabelul următor.

Întrebări frecvente (Întrebări frecvente)

Depanarea problemelor de boot

După ce au fost aplicate toate cele trei atenuări, firmware-ul dispozitivului nu se va boota utilizând un manager de boot semnat de Windows Production PCA 2011. Erorile de boot raportate de firmware sunt specifice dispozitivului. Consultați secțiunea Procedura de recuperare .

Procedură de recuperare

Dacă ceva nu merge bine în timpul aplicării atenuării și nu puteți porni dispozitivul sau trebuie să porniți de pe un suport media extern (cum ar fi o unitate USB sau bootarea PXE), încercați următoarele sugestii:

1. Dezactivați Bootare sigură.
   
   Această procedură diferă între producătorii și modelele de dispozitive. Introduceți meniul UEFI BIOS al dispozitivelor și navigați la setările secure Boot și dezactivați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe detalii pot fi găsite în Dezactivarea Boot secure.

2. Resetați cheile Secure Boot la setările implicite din fabrică.

   Dacă dispozitivul acceptă resetarea cheilor de boot securizate la setările implicite din fabrică, efectuați această acțiune acum.

   NOTĂ Unii producători de dispozitive au atât o opțiune "Golire", cât și o opțiune "Resetare" pentru variabilele Secure Boot, caz în care ar trebui utilizată opțiunea "Resetare". Scopul este să readuceți variabilele Secure Boot înapoi la valorile implicite ale producătorilor.

   Dispozitivul dvs. ar trebui să înceapă acum, dar rețineți că este vulnerabil la malware-ul kit de bootare. Asigurați-vă că finalizați Pasul 5 al acestui proces de recuperare pentru a reactiva Bootarea sigură.

3. Încercați să porniți Windows de pe discul de sistem.

   1. Conectați-vă la Windows.

   2. Rulați următoarele comenzi dintr-o linie de comandă Administrator pentru a restaura fișierele de boot în partiția de bootare a sistemului EFI. Tastați fiecare comandă separat, apoi apăsați pe Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Rularea BCDBoot returnează "Bootați fișierele au fost create cu succes". După ce se afișează acest mesaj, reporniți dispozitivul la Windows.

4. Dacă Pasul 3 nu recuperează cu succes dispozitivul, reinstalați Windows.

   1. Porniți dispozitivul de pe suportul de recuperare existent.

   2. Continuați să instalați Windows utilizând suportul de recuperare.

   3. Conectați-vă la Windows.

   4. Reporniți Windows pentru a verifica dacă dispozitivul revine la Windows.

5. Reactivați Bootarea sigură și reporniți dispozitivul.
   
   Introduceți meniul UEFI al dispozitivului și navigați la setările secure Boot și activați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe informații pot fi găsite în secțiunea "Reactivați bootarea sigură".

Referințe

• Instrucțiuni pentru investigarea atacurilor utilizând CVE-2022-21894: campania BlackLotus

• Boot securizat

• Activați bootul securizat pe dispozitivele Windows înscrise

• Pentru evenimentele generate la aplicarea actualizărilor DBX, consultați KB5016061: Abordarea managerilor de boot vulnerabili și revocați.