KB4535680: Bezbednosna ispravka za DBX za bezbedno pokretanje sistema: 12. januar 2021.

Pitanje

Zaobilazno rešenje

Neki proizvođač originalne opreme (OEM) firmver možda neće dozvoliti instalaciju ove ispravke.

Da biste rešili ovaj problem, obratite se OEM-u firmvera.

Ako je BitLocker Smernice grupe Konfigurisanje profila za validaciju TPM platforme za izvorne konfiguracije UEFI firmvera i smernice izabere PCR7, to može dovesti do toga da BitLocker ključ za oporavak bude neophodan na nekim uređajima na kojima nije moguće povezati PCR7.

Da biste prikazali status povezivanja za PCR7, pokrenite alatku Microsoft sistemske informacije (Msinfo32.exe) sa administrativnim dozvolama.

Da biste privremeno rešili ovaj problem, uradite nešto od sledećeg na osnovu konfiguracije čuvara akreditiva pre nego što primenite ovu ispravku:

• Na uređaju koji nema omogućen akreditive Gard, pokrenite sledeću komandu iz komandne linije administratora da biste obustavili BitLocker za 1 ciklus ponovnog pokretanja sistema:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Zatim ponovo pokrenite uređaj da biste nastavili BitLocker zaštitu.
  
  Beleške Nemojte da omogućite BitLocker zaštitu bez dodatnog ponovnog pokretanja uređaja jer će to dovesti do BitLocker oporavka.

• Na uređaju koji ima omogućen akreditive Guard možda će biti više ponovljenih pokretanja tokom ažuriranja koja zahtevaju obustavljanje funkcije BitLocker. Pokrenite sledeću komandu iz komandne linije Administrator da biste obustavili BitLocker za 3 ciklusa ponovnog pokretanja. Manage-bde –Protectors –Disable C: -RebootCount 3

  Očekuje se da će ova ispravka ponovo pokrenuti sistem dva puta. Ponovo pokrenite uređaj da biste nastavili BitLocker zaštitu.

  Beleške Nemojte da omogućite BitLocker zaštitu bez dodatnog ponovnog pokretanja jer će to dovesti do BitLocker oporavka.

BitLocker oporavak možete da unesete ako su neusaglašene BitLocker postavke smernica grupe konfigurisane kada se BitLocker omogući u okruženju. BitLocker oporavak može da se pokrene zbog bilo koje od dolenavedenih Smernice grupe postavki:

• Nametanje eksplicitne konfiguracije PCR povezivanja koja se razlikuje od onoga što je Već odabrao BitLocker.

• Konfigurisanje GP-a "Dozvoli proveru integriteta pri bezbednom pokretanju radi provere integriteta" radi onemogućavanja bezbednog pokretanja za proveru integriteta, ali BitLocker već koristi bezbedno pokretanje (PCR7).

• Konfigurisanje funkcije Smernice grupe Zahtevanje dodatne potvrde identiteta tokom pokretanja, ali je BitLocker konfigurisan pre primene ovih smernica grupe.

Ako je ovo ažuriranje već primenjeno, a uređaj nije ponovo pokrenut, obustavite BitLocker i ponovo ga pokrenite nakon sledećih koraka:

• Ako je eksplicitna konfiguracija PCR-a podešena putem smernica grupe ili je smernica konfigurisana da onemogući upotrebu bezbednog pokretanja za proveru integriteta, obustavite i nastavite BitLocker da biste uklonili GP neusaglašenosti.

• Ako je smernica Zahtevaj dodatnu potvrdu identiteta tokom pokretanja konfigurisana tako da zahteva TPM i PIN, pokrenite sledeću komandu iz administrativne komandne linije i unesite željeni PIN: manage-bde -protectors -add c: -TPMAndPin

• Ako je smernica Zahtevaj dodatnu potvrdu identiteta tokom pokretanja konfigurisana tako da zahteva ključ za pokretanje, izvršite sledeću komandu da biste kreirali ključ za pokretanje: manage-bde -protectors -add c: -tpmandstartupkey < do spoljnog ključa>

• Ako je smernica Zahtevaj dodatnu potvrdu identiteta tokom pokretanja konfigurisana tako da zahteva ključ za pokretanje i pin, izvršite sledeću komandu iz Administrator komandne linije da biste kreirali pin i taster za pokretanje. Kada se to od vas zatraži, unesite željeni PIN: manage-bde -protectors -add c: -tpmandpinandstartupkey < putanja do spoljnog direktorijuma ključeva>

Ova ispravka se možda neće instalirati na uređajima sa nepotpisanim, nepotpisanim datotekama upravljača pokretanjem sistema Microsoft bootx64.efi.  Ova ispravka može da se ponudi i ponovo se Windows Update ali možda neće da se instalira.  Kada pokušate ručno da instalirate ovu ispravku, možda ćete dobiti grešku "Neke ispravke nisu instalirane" na listi KB4565680.  U datoteci CBS evidencije u %systemroot%\logs\cbs možete da potražite sledeću grešku: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Greška TRUST_E_NOSIGNATURE potekla iz funkcije Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Radimo na rešenju i procenjujemo da će rešenje biti dostupno za Windows 10 verzija 1909, Windows 10, verzija 2004 i Windows 10, verzija 20H2 krajem marta.  Procenjuje se da će preostale podržane verzije operativnog sistema Windows imati rešenje dostupno sredinom aprila.

Za dodatna uputstva pre objavljivanja rešenja, obratite se proizvođaču uređaja (OEM).