Более подробный обзор базы данных с высоким уровнем достоверности

Классификации доверия

База данных с высоким уровнем достоверности группирует устройства по классификациям доверия, которые отражают текущую оценку майкрософт готовности к обновлению сертификата безопасной загрузки и используются для принятия решений о развертывании.

• Высокий уровень достоверности: Устройства в этой группе продемонстрировали с помощью наблюдаемых данных, что они могут успешно обновлять встроенное ПО с помощью новых сертификатов безопасной загрузки.

• Временно приостановлено: На устройства в этой группе влияет известная проблема. Чтобы снизить риск, обновления сертификатов безопасной загрузки временно приостанавливаются, пока корпорация Майкрософт и партнеры работают над поддерживаемым решением. Для этого может потребоваться обновление встроенного ПО. Дополнительные сведения см. в описании события 1802.

• Не поддерживается — известное ограничение: Устройства в этой группе не поддерживают путь автоматического обновления сертификатов безопасной загрузки из-за ограничений оборудования или встроенного ПО. В настоящее время для этой конфигурации не поддерживается автоматическое разрешение.

• Под наблюдением — требуются дополнительные данные: Устройства в этой группе в настоящее время не заблокированы, но пока недостаточно данных, чтобы классифицировать их как надежные. Обновления сертификатов безопасной загрузки могут быть отложены до тех пор, пока не будет доступно достаточно данных.

• Нет наблюдаемых данных — требуется действие: Корпорация Майкрософт не обнаружила это устройство в данных обновления безопасной загрузки. В результате автоматические обновления сертификатов не могут быть оценены для этого устройства, и, скорее всего, потребуется действие администратора. Эта классификация не включена в базу данных с высоким уровнем достоверности и создается Windows, когда устройство не найдено в базе данных.

в начало 

Доступ к данным на GitHub

Корпорация Майкрософт публикует удобочитаемую версию базы данных с высоким уровнем достоверности на GitHub, чтобы обеспечить прозрачность данных, используемых для оценки готовности к обновлению сертификата безопасной загрузки. Эта версия включает атрибуты устройства, используемые для формирования контейнеров доверия, и предназначена для проверки и анализа людьми. Он не используется непосредственно при обслуживании Windows.

Эти данные доступны в репозитории GitHub объектов безопасной загрузки Майкрософт и могут быть полезны для следующих аудиторий:

• ИТ-администраторы и команды безопасности: Оцените готовность к развертыванию безопасной загрузки и понять, какие классы устройств могут иметь право на обновления сертификатов, доставляемые с помощью накопительных обновлений.

• Производители устройств: Узнайте, как конфигурации устройств и встроенного ПО представлены в экосистеме Windows.

• Другие поставщики операционных систем, включая дистрибутивы Linux: Узнайте, как классифицируются конфигурации устройств и встроенного ПО и, где это применимо, соответствуют поэтапному подходу корпорации Майкрософт.

Данные обновляются два раза в месяц с учетом ежемесячных обновлений системы безопасности во второй вторник месяца и дополнительных обновлений, не относящихся к системе безопасности, в четвертый вторник месяца. ​​​​​

в начало

Данные с высоким уровнем достоверности, включенные в обновления обслуживания

Подписанная версия базы данных с высоким уровнем достоверности входит в состав накопительных обновлений Windows и используется непосредственно службами Windows для оценки готовности к обновлению сертификата безопасной загрузки. Эти данные защищены и оцениваются локально, что позволяет принимать решения об обслуживании, даже если устройство не видно для телеметрии Майкрософт.

На устройстве данные хранятся как BucketConfidenceData.cab в следующих разделах:

Эта версия, интегрированная в обслуживание, содержит компактное структурированное представление сегментов доверия. Он включает только атрибуты, необходимые для определения членства в контейнере, и соответствующую классификацию доверия. Метаданные версии и метки времени обеспечивают использование последних применимых данных. Эта версия оптимизирована для надежности, размера и безопасности и не предназначена для прямой проверки или изменения.

в начало

Более частое получение обновлений базы данных с высоким уровнем достоверности

Устройства под управлением Windows 11 версии 24H2 или 25H2 могут получать обновления базы данных с высоким уровнем достоверности чаще, чем ежемесячные обновления системы безопасности. В дополнение к ежемесячным обновлениям для системы безопасности эти версии также получают необязательные обновления предварительной версии, не относящиеся к системе безопасности, которые могут включать новые данные достоверности. Установка этих обновлений позволяет клиентам быть ближе к последним данным доверия, оставаясь в рамках стандартного обслуживания Windows.

в начало

Повторное использовать данные с высоким уровнем достоверности в разных версиях Windows

В некоторых средах администраторы могут развернуть базу данных с высоким уровнем достоверности в поддерживаемых версиях Windows старше Windows 11, версии 24H2 или 25H2.

В этом сценарии база данных поступает из Windows 11 версии 24H2 или 25H2, которые получают более новые данные достоверности с помощью необязательных обновлений, не относящихся к системе безопасности. Развертывание этой базы данных позволяет оценивать новые оценки достоверности в более старых поддерживаемых версиях Windows раньше, чем только через ежемесячные обновления для системы безопасности. Это не влияет на то, как вычисляется достоверность или как применяются обновления сертификатов безопасной загрузки.

в начало

Развертывание базы данных с высоким уровнем достоверности в других версиях Windows

Для развертывания BucketConfidenceData.cabиспользуйте процесс, согласованный с инструментами и методиками развертывания вашей организации.

1. Получите BucketConfidenceData.cab из системы Windows 11 версии 24H2 или 25H2 с последними обновлениями, не относящихся к системе безопасности. Файл находится по адресу:

   %SystemRoot%\System32\SecureBootUpdates\

2. На целевых устройствах в качестве администратора создайте следующий каталог, если он еще не существует:
   ​​​​​​​

   %ProgramData%\Microsoft\Windows\SecureBootUpdates

3. Разверните BucketConfidenceData.cab в этом каталоге.

При следующем запуске запланированной задачи (обычно в течение 12 часов) Windows будет использовать этот файл, если он является более новой, чем версия, включенная в сервисные обновления.

в начало

Выбор данных достоверности в Windows

Устройство может содержать несколько копий базы данных с высоким уровнем достоверности. Чтобы обеспечить согласованное поведение, Windows применяет определенную модель приоритета при оценке данных достоверности.

Если подписанный файл данных достоверности включается в накопительное обновление, эта обслуживающая копия используется по умолчанию. Если имеется несколько копий, Windows выбирает последнюю применимую версию на основе метаданных версии и метки времени.

в начало