KB4535680: Aktualizácia zabezpečenia pre secure boot DBX: 12. januára 2021

Problém

Alternatívne riešenie

Niektoré firmvéry výrobcu pôvodného zariadenia (OEM) možno nepovolia inštaláciu tejto aktualizácie.

Ak chcete vyriešiť tento problém, obráťte sa na OEM firmvéru.

Ak je funkcia BitLocker skupinová politika Konfigurácia overovacieho profilu platformy TPM pre natívne konfigurácie firmvéru UEFI zapnutá a pcr7 je vybratá politikou, môže to mať za následok, že v niektorých zariadeniach, v ktorých väzba PCR7 nie je možná, sa bude vyžadovať kľúč na obnovenie šifrovania BitLocker.

Ak chcete zobraziť stav väzby PCR7, spustite nástroj Microsoft System Information (Msinfo32.exe) s povoleniami správcu.

Ak chcete alternatívne riešenie tohto problému, pred nasadením tejto aktualizácie vykonajte niektorý z týchto krokov na základe konfigurácie ochrany poverení:

• V zariadení, ktoré nemá povolenú funkciu Gard poverení, spustite nasledujúci príkaz z príkazového riadka správcu a pozastavte šifrovanie BitLocker na 1 cyklus reštartovania:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Potom reštartujte zariadenie a obnovte ochranu šifrovania BitLocker.
  
  Poznámka Nepovoľte ochranu šifrovania BitLocker bez ďalšieho reštartovania zariadenia, pretože by to viedlo k obnove šifrovania BitLocker.

• V zariadení, ktoré má zapnutú funkciu Credential Guard, sa počas aktualizácie môže vyskytnúť viacero reštartov, ktoré vyžadujú pozastavenie šifrovania BitLocker. Spustením nasledujúceho príkazu z príkazového riadka správcu odstavíte uzamknutie BitLocker na 3 cykly reštartovania. Manage-bde –Protectors –Disable C: -RebootCount 3

  Očakáva sa, že táto aktualizácia reštartuje systém dvakrát. Znova reštartujte zariadenie a obnovte ochranu šifrovania BitLocker.

  Poznámka Nepovoľte ochranu šifrovaním BitLocker bez ďalšieho reštartovania, pretože by to malo za následok obnovenie šifrovania BitLocker.

Obnovenie šifrovania BitLocker môžete zadať, ak sú po zapnutí zabezpečenia BitLocker v prostredí nakonfigurované konfliktné nastavenia skupinovej politiky šifrovania BitLocker. Obnovenie bitlockera je možné spustiť z dôvodu ktoréhokoľvek z nižšie uvedených nastavení skupinová politika:

• Vynútenie explicitnej konfigurácie väzieb PCR , ktoré sa líšia od toho, čo už vybrala funkcia BitLocker.

• Konfigurácia GP "Allow Secure Boot for integrity validation" to dis-allow Secure boot for integrity validation but BitLocker is already using secure boot (PCR7).

• Konfigurácia skupinová politika vyžadovať ďalšie overovanie počas spúšťania, ale pred nasadením tejto skupinovej politiky bola nakonfigurovaná funkcia BitLocker.

Ak sa táto aktualizácia už použila a zariadenie sa nereštartovalo, po vykonaní nasledujúcich krokov odstavte šifrovanie BitLocker a reštartujte ho:

• Ak explicitná konfigurácia PCR bola nastavená prostredníctvom skupinovej politiky alebo politika je nakonfigurovaná tak, aby zakázala používanie zabezpečeného spustenia pre overenie integrity, pozastaviť a obnoviť BitLocker na vymazanie konfliktov GP.

• Ak je politika spustenia nakonfigurovaná tak, aby vyžadovala modul TPM a PIN, spustite nasledujúci príkaz z príkazového riadka správcu a zadajte požadovaný PIN kód: manage-bde -protectors -add c: -TPMAndPin

• Ak je politika spustenia nakonfigurovaná tak, aby vyžadovala spúšťací kľúč, spustite nasledujúci príkaz na vytvorenie spúšťacieho kľúča: manage-bde -protectors -add c: -tpmandstartupkey <cestu k adresáru externých kľúčov>

• Ak je politika spustenia nakonfigurovaná tak, aby vyžadovala spúšťací kľúč a pripnutie, spustite nasledujúci príkaz z príkazového riadka Spravovanie a vytvorte pin a spúšťací kľúč. Po zobrazení výzvy zadajte požadovaný PIN kód: manage-bde -protectors -add c: -tpmandpinandstartupkey <cestu k adresáru externých kľúčov>

Táto aktualizácia sa možno nenainštaluje v zariadeniach s nepodpísaným súborom správcu bootx64.efi, ktorý nie je od spoločnosti Microsoft.  Táto aktualizácia môže byť ponúkaná a z nej odvodená prostredníctvom Windows Update, ale nemusí sa inštalovať.  Pri pokuse o manuálnu inštaláciu tejto aktualizácie sa môže zobraziť chyba Niektoré aktualizácie sa nenainštalovali a zobrazila sa aktualizácia KB4565680.  Môžete tiež skontrolovať súbor denníka CBS v %systemroot%\logs\cbs pre nasledujúcu chybu: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Chyba TRUST_E_NOSIGNATURE vznikla vo funkcii Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Pracujeme na riešení a odhadujeme, že riešenie bude koncom marca k dispozícii pre Windows 10, verziu 1909, Windows 10, verziu 2004 a Windows 10, verziu 20H2.  Odhaduje sa, že zostávajúce podporované verzie Windowsu budú mať riešenie k dispozícii v polovici apríla.

Ak potrebujete ďalšie pokyny pred vydaním rozlíšenia, obráťte sa na výrobcu zariadenia (OEM).