KB4535680: Varnostna posodobitev za varni zagon DBX: 12. januar 2021

Težava

Rešitev

Nekatera vdelana programska oprema proizvajalca strojne opreme morda ne bo dovoljena za namestitev te posodobitve.

Če želite odpraviti to težavo, se obrnite na proizvajalca strojne opreme.

Če je storitev BitLocker pravilnik skupine Konfigurirajte profil platforme za preverjanje veljavnosti modula zaupanja TPM za izvorne konfiguracije vdelane programske opreme vmesnika UEFI in je pravilnik omogočil PCR7, lahko to povzroči, da je obnovitveni ključ za BitLocker zahtevan v nekaterih napravah, v katerih vezava PCR7 ni mogoča.

Če si želite ogledati stanje vezave PCR7, zaženite orodje Microsoft System Information (Msinfo32.exe) s skrbniškimi dovoljenji.

Če želite odpraviti to težavo, naredite nekaj od tega na podlagi konfiguracije skrbnika poverilnic, preden uvedete to posodobitev:

• V napravi, v kateri možnost Credential Gard ni omogočena, v ukaznem pozivu skrbnika zaženite naslednji ukaz, da začasno onemogočite BitLocker za 1 vnovični zagon:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Nato znova zaženite napravo, da nadaljujete zaščito za BitLocker.
  
  Opomba Zaščite za BitLocker ne omogočite brez dodatnega vnovičnega zagona naprave, saj bi s tem obnovili BitLocker.

• V napravi, v kateri je omogočena funkcija Credential Guard, je med posodobitvijo morda več ponovnih zagonov, zaradi katerih je treba BitLocker začasno onemogočiti. V ukaznem pozivu skrbnika zaženite ta ukaz, da začasno prekinete BitLocker za 3 vnovične zagone. Manage-bde – zaščita – onemogočiti C: -RebootCount 3

  Ta posodobitev naj bi dvakrat znova zagnala sistem. Znova zaženite napravo, da nadaljujete zaščito za BitLocker.

  Opomba Zaščite za BitLocker ne omogočite brez dodatnega vnovičnega zagona, saj bi bila posledica obnovitve BitLocker.

Obnovitev funkcije Bitlocker lahko vnesete, če so nastavitve pravilnika skupine BitLocker v sporu konfigurirane, ko je BitLocker omogočen v okolju. Obnovitev funkcije Bitlocker se lahko sproži zaradi katere koli od spodnjih pravilnik skupine nastavitev:

• Prisluškujoča je eksplicitna konfiguracija vezave PCR, ki se razlikuje od tega, kar bitLocker že izbere.

• Konfiguracija GP "Allow Secure Boot for integrity validation" to dis-allow Secure boot for integrity validation but BitLocker is already using secure boot (PCR7).

• Konfiguriranje funkcije pravilnik skupine zahtevanje dodatnega preverjanja pristnosti med zagonom, vendar je bitLocker konfiguriran pred uvedbo tega pravilnika skupine.

Če je bila ta posodobitev že uporabljena in se naprava ni znova zagnala, začasno prekinite BitLocker in ga znova zaženite po spodnjih korakih:

• Če je bila eksplicitna konfiguracija PCR nastavljena s pravilnikom skupine ali je pravilnik konfiguriran tako, da onemogoči uporabo varnega zagona za preverjanje celovitosti, začasno prekinite in znova zaženite BitLocker, da počistite spore GP.

• Če je nastavitev Zahtevaj dodatno preverjanje pristnosti med zagonom konfigurirana tako, da zahteva modul zaupanja TPM in kodo PIN, zaženite ta ukaz v skrbniškem ukaznem pozivu in vnesite želeni PIN: manage-bde -protectors -add c: -TPMAndPin

• Če je pravilnik Zahtevaj dodatno preverjanje pristnosti med zagonom konfiguriran tako, da zahteva zagonski ključ, izvedite naslednji ukaz za ustvarjanje zagonskega ključa: manage-bde -protectors -add c: -tpmandstartupkey <path to external key directory>

• Če je pravilnik Zahtevaj dodatno preverjanje pristnosti med zagonom konfiguriran tako, da zahteva zagonski ključ in pripenjanje, izvedite naslednji ukaz iz Skrbnik ukaznega poziva za ustvarjanje pin-a in zagonskega ključa. Ko ste pozvani, vnesite želeni PIN: manage-bde -protectors -add c: -tpmandpinandstartupkey <pot do zunanjega ključa imenika>

Ta posodobitev se morda ne bo namestila v naprave z nepodpisano datoteko zagonskega upravitelja zagona, ki ni Microsoft bootx64.efi.  Ta posodobitev bo morda na voljo in na voljo prek Windows Update vendar morda ne bo nameščena.  Ko poskusite ročno namestiti to posodobitev, se lahko prikaže sporočilo o napaki »Nekatere posodobitve niso bile nameščene« s seznamom posodobitev KB4565680.  V dnevniku CBS v datoteki %systemroot%\logs\cbs lahko preverite tudi to napako: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Napaka TRUST_E_NOSIGNATURE izvira iz funkcije Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Pripravljamo rešitev in ocenjujemo, da bo rešitev za sistem Windows 10, različica 1909, Windows 10, različica 2004 in Windows 10, različica 20H2, na voljo konec marca.  Za preostale podprte različice sistema Windows se ocenjuje, da je rešitev na voljo v sredini aprila.

Za dodatna navodila pred izdajo ločljivosti se obrnite na proizvajalca naprave (proizvajalca strojne opreme).