Руководство по развертыванию в корпоративной среде CVE-2023-24932

Мы разделили развертывание на несколько этапов, которые могут быть выполнены на временной шкале, подходящей для вашей организации. Вам следует ознакомиться с этими действиями. После того как вы хорошо понимаете шаги, вам следует подумать о том, как они будут работать в вашей среде, и подготовить планы развертывания, которые будут работать для вашего предприятия на вашей временной шкале.

Чтобы добавить новый сертификат Windows UEFI CA 2023 и отменить доверие к сертификату Microsoft Windows Production PCA 2011, требуется взаимодействие со встроенным ПО устройства. Так как существует большое сочетание оборудования и встроенного ПО, и корпорация Майкрософт не может протестировать все сочетания, мы рекомендуем протестировать репрезентативные устройства в вашей среде, прежде чем развертывать ее в широком масштабе. Рекомендуется протестировать хотя бы одно устройство каждого типа, которое используется в организации. Некоторые известные проблемы устройств, которые блокируют эти меры защиты, описаны в разделе KB5025885: Управление отзывом диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932. Если вы обнаружили проблему со встроенным ПО устройства, которая не указана в разделе "Известные проблемы ", обратитесь к поставщику OEM, чтобы устранить проблему.

Поскольку в этом документе есть ссылки на несколько различных сертификатов, они представлены в следующей таблице для удобства и ясности:

Существует четыре способа смягчения последствий, которые необходимо применить для защиты от атак, описанных в CVE-2023-24932:

• Меры по устранению последствий 1: Установка обновленного определения сертификата (PCA2023) в базу данных
• Меры 2: Обновите диспетчер загрузки на устройстве
• Меры 3: Включить отзыв (PCA2011)
• Меры 4: Примените обновление SVN к встроенному ПО

Эти четыре средства устранения рисков можно вручную применить к каждому из тестовых устройств в соответствии с инструкциями, описанными в руководстве по развертыванию мер устранения рисковKB5025885: Как управлять отзывом диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932, или следуя инструкциям в этом документе. Для правильной работы всех четырех мер устранения рисков требуется встроенное ПО.

Понимание описанных ниже рисков поможет вам в процессе планирования.

Проблемы со встроенным ПО: Каждое устройство имеет встроенное ПО, предоставленное его производителем. Для операций развертывания, описанных в этом документе, встроенное ПО должно иметь возможность принимать и обрабатывать обновления для базы данных безопасной загрузки (Signature Database) и DBX (Forbidden Signature Database). Кроме того, встроенное ПО отвечает за проверку подписи или загрузки приложений, включая диспетчер загрузки Windows. Встроенное ПО устройства является программным и, как и любое программное обеспечение, может иметь дефекты, поэтому важно протестировать эти операции перед широким развертыванием.

Корпорация Майкрософт непрерывно тестирует различные комбинации устройств и встроенного ПО, начиная с устройств в лабораториях и офисах Майкрософт. Корпорация Майкрософт работает с изготовителями оборудования для тестирования их устройств. Почти все протестированные устройства прошли без проблем. В нескольких случаях наблюдались проблемы с неправильной обработкой обновлений встроенным ПО. Мы работаем с изготовителями оборудования над решением известных нам проблем.

Установка мультимедиа: При применении мер устранения рисков 3 и 4, описанных далее в этом документе, все существующие установочные носители Windows больше не будут загружаться, пока на них не будет обновлен диспетчер загрузки. Меры по устранению проблем, описанные в этом документе, предотвращают запуск старых уязвимых диспетчеров загрузки, переставая доверять им встроенному ПО. Это не позволяет злоумышленнику откатить диспетчер загрузки системы к предыдущей версии и использовать уязвимости, присутствующие в более ранних версиях. Блокировка этих уязвимых диспетчеров загрузки не должна повлиять на работающую систему. Однако это предотвратит запуск всех загрузочных носителей, пока не будут обновлены диспетчеры загрузки на носителе. К ним относятся образы ISO, загрузочные USB-накопители и загрузка по сети (загрузка по протоколу PxE и HTTP).

• Устранение рисков 1. Установка обновленных определений сертификатов в базу данных

  Добавлен новый сертификат Windows UEFI CA 2023 в базу данных подписей безопасной загрузки (DB) UEFI. При добавлении этого сертификата в базу данных встроенное ПО устройства будет доверять загрузочным приложениям Microsoft Windows, подписанным этим сертификатом.

• Устранение рисков 2. Обновление диспетчера загрузки на устройстве

  Применяет новый диспетчер загрузки Windows, подписанный новым сертификатом Windows UEFI CA 2023.

Эти меры защиты важны для долгосрочной работоспособности Windows на этих устройствах. Так как срок действия сертификата Microsoft Windows Production PCA 2011 во встроенном ПО истекает в октябре 2026 г., устройства должны иметь новый сертификат Windows UEFI CA 2023 во встроенном ПО до истечения срока действия, иначе устройство больше не сможет получать обновления Windows, что поставит его в уязвимое состояние безопасности.

Чтобы применить все меры одновременно, выполните следующую команду от имени администратора:

По мере применения мер защиты биты в значении AvailableUpdates очищаются. Для этого может потребоваться несколько перезапусков.

Устранение рисков диспетчера загрузки применяется только после того, как встроенное ПО сообщит о завершении устранения рисков с помощью сертификата. Эти действия нельзя выполнять в неправильном порядке.

По завершении для UEFICA2023Status устанавливается значение "Обновлено".

Некоторые устройства могут быть уже обновлены, если их можно отнести к категории "Высокий уровень достоверности". Дополнительные сведения см. в руководстве по безопасной загрузке.

После развертывания средств устранения рисков на устройствах следует отслеживать устройства, чтобы убедиться, что они применены и обновлены. Мониторинг можно выполнить, найдя следующий раздел реестра в системе. Если ключ существует и ему присвоено значение InProgress, система начала обновление системы. Если ключ существует и ему присвоено значение "Обновлено", то система имеет необходимые сертификаты 2023 года в базе данных и KEK и запускается с подписанного диспетчера загрузки 2023 года.

После применения мер устранения рисков 1 и 2 к устройствам можно обновить все загрузочные носители, используемые в среде. Обновление загрузочного носителя означает применение к нему PCA2023 подписанного диспетчера загрузки. Это включает в себя обновление образов сетевой загрузки (например, PxE и HTTP), образов ISO и USB-накопителей. В противном случае устройства, на которых применены средства устранения рисков, не будут запускаться с загрузочного носителя, использующего старый загрузочный диспетчер Windows и ЦС 2011.

Средства и рекомендации по обновлению каждого типа загрузочных носителей доступны здесь:

Во время процесса обновления носителя обязательно протестируйте носитель на устройстве, которое поддерживает все четыре средства защиты. Последние два средства защиты заблокируют старые, уязвимые диспетчеры загрузки. Наличие носителей с текущими диспетчерами загрузки является важной частью завершения этого процесса.

Загрузочный носитель не включает системный диск устройства, на котором обычно находится и с которого автоматически запускается Windows. Загрузочный носитель обычно используется для загрузки устройства, на котором нет загрузочной версии Windows, а загрузочный носитель часто используется для установки Windows на устройстве.

Параметры безопасной загрузки UEFI определяют, каким менеджерам загрузки следует доверять, с помощью базы данных безопасной загрузки (база данных сигнатур) и DBX (база данных запрещенных сигнатур). База данных содержит хэши и ключи доверенного программного обеспечения, а DBX хранит отозванные, скомпрометированные и недоверенные хэши и ключи, чтобы предотвратить запуск несанкционированного или вредоносного программного обеспечения во время процесса загрузки.

Полезно подумать о различных состояниях, в которых может находиться устройство, и о том, какой загрузочный носитель можно использовать с устройством в каждом из этих состояний. Во всех случаях прошивка определяет, должна ли она доверять менеджеру загрузки, который ей представлен, и после запуска диспетчера загрузки DB и DBX больше не консультируются со встроенным ПО. Загрузочный носитель может использовать либо подписанный диспетчер загрузки CA 2011, либо подписанный диспетчер загрузки CA 2023 (но не оба этих сервера). В следующем разделе описывается, в каких состояниях может находиться устройство и, в некоторых случаях, какой носитель можно загрузить с устройства.

Эти сценарии могут помочь при планировании развертывания средств защиты на всех ваших устройствах.

Новые устройства

Некоторые новые устройства начали поставляться с предустановленными ЦС 2011 и 2023 в встроенном ПО устройства. Не все производители перешли на оба варианта и могут по-прежнему поставлять устройства только с предварительно установленным ЦС выпуска 2011.

• Устройства с обоими центрами сертификации 2011 и 2023 могут запускать носитель, который включает либо подписанный диспетчер загрузки 2011 CA, либо подписанный диспетчер загрузки 2023 CA.
• Устройства с установленным ЦС 2011 могут загружать носители только с подписанным диспетчером загрузки ЦС 2011. Большинство старых носителей включают в себя диспетчер загрузки, подписанный CA 2011 года.

Устройства с мерами защиты 1 и 2

Эти устройства были предварительно установлены с ЦС 2011 и, после применения Устранения рисков 1, теперь на них установлен ЦС 2023. Поскольку эти устройства доверяют обоим центрам сертификации, эти устройства могут запускать как носители с помощью ЦС 2011, так и подписанного диспетчера загрузки 2023.

Устройства с решениями 3 и 4

Эти устройства имеют код CA 2011, включенный в DBX, и больше не доверяют мультимедиа с диспетчером загрузки, подписанным CA 2011. Устройство с такой конфигурацией будет запускать мультимедиа только с подписанным диспетчером загрузки CA 2023.

Сброс безопасной загрузки

Если параметры безопасной загрузки были сброшены до значений по умолчанию, все меры по устранению рисков, которые были применены к DB (добавление CA 2023) и DBX (потеря доверия к CA 2011), могут больше не действовать. Поведение будет зависеть от параметров встроенного ПО по умолчанию.

DBX

Если были применены меры 3 и/или 4 и DBX очищен, то CA 2011 не будет в списке DBX и по-прежнему будет доверенным. В этом случае потребуется повторное применение мер по устранению рисков 3 и/или 4.

ФУО

Если база данных содержала ЦС 2023 и он удаляется путем сброса параметров безопасной загрузки до значений по умолчанию, система может не загрузиться, если устройство полагается на подписанный диспетчер загрузки ЦС 2023. Если устройство не загружается, используйте средство securebootrecovery.efi, описанное в статье KB5025885: Управление отзывом диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932 , для восстановления системы.

• Меры 3. Включение отзыва

  Отменяет доверие сертификату Microsoft Windows Production PCA 2011, добавляя его в прошивку Secure Boot DBX. Это приведет к тому, что встроенное ПО перестанет доверять всем диспетчерам загрузки с подписью выпуска 2011 и всем носителям, использующим диспетчер загрузки с подписью центра сертификации 2011.

• Способ устранения проблемы 4. Примените обновление безопасного номера версии к встроенному ПО

  Применяет обновление Secure Version Number (SVN) к прошивке Secure Boot DBX. Когда запускается диспетчер загрузки, подписанный 2023 годом, он выполняет самостоятельную проверку, сравнивая SVN, хранящийся во встроенном ПО, со встроенным SVN, встроенным в диспетчер загрузки. Если SVN диспетчера загрузки ниже, чем SVN встроенного ПО, диспетчер загрузки не будет запущен. Эта функция не позволяет злоумышленнику выполнить откат диспетчера загрузки до более старой, необновленной версии. Для будущих обновлений системы безопасности диспетчера загрузки значение SVN будет увеличиваться, и потребуется повторно применить средство устранения рисков 4.

Важно! Меры 1 и 2 должны быть завершены до применения мер 3 и 4.

Сведения о том, как применить меры устранения рисков 3 и 4 в два отдельных шага (если вы хотите быть более осторожными, по крайней мере на начальном этапе), см. в разделе KB5025885: Управление отзывом диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932 Или вы можете применить оба средства защиты, выполнив следующую операцию с одним разделом реестра от имени администратора:

Совместное применение обоих средств устранения рисков потребует только одного перезапуска для завершения операции.

• Меры 3: Чтобы проверить, был ли список отзыва успешно применен, выполните поиск события с кодом 1037 в журнале событий согласно событиям KB5016061: Безопасная загрузка DB и события обновления переменных DBX.

  Кроме того, вы можете выполнить следующую команду PowerShell от имени администратора и убедиться, что она возвращает значение True:

  [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

• Меры 4: Метода подтверждения применения параметра SVN пока не существует. Этот раздел будет обновляться по мере появления решения.