Microsoft vodič za primenu DBX ispravke za bezbedno pokretanje (KB4575994)

Primena DBX ispravke u operativnom sistemu Windows

Kada pročitate upozorenja u prethodnom odeljku i potvrdite da je uređaj kompatibilan, pratite ove korake da biste ažurirali DBX za bezbedno pokretanje:

1. Preuzmite odgovarajuću datoteku UEFI liste opozvanih poziva (Dbxupdate.bin) za platformu sa ove UEFI veb stranice.

2. Morate da razdelite datoteku Dbxupdate.bin na neophodne komponente da biste ih primenili pomoću PowerShell cmdlet komandi. Da biste to uradili, pratite ove korake:

   1. Preuzmite PowerShell skriptu sa ove veb stranice PowerShell galerije.

   2. Da biste lakše pronašli skriptu, pokrenite sledeću cmdlet komandu:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Proverite da li je cmdlet uspešno preuzeo skriptu i obezbedio izlazne detalje, uključujući Ime, Verziju, Autora, ObjavljeniDatum, Datum instalacije i InstalledLocation.

   4. Pokrenite sledeće cmdlet komande:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. Proverite da SplitDbxContent.ps1 datoteka sada u fascikli Skripte.

   6. Pokrenite sledeću PowerShell skriptu u datoteci Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Proverite da li je komanda kreirala sledeće datoteke.

      

      • Content.bin – sadržaj ažuriranja

      • Signature.p7 – potpis koji ovlašća proces ažuriranja

3. U administrativnoj PowerShell sesiji pokrenite Set-SecureBootUefi cmdlet da biste primenili DBX ispravku:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Očekivani izlazni
   
   

4. Da biste dovršili proces instalacije ažuriranja, ponovo pokrenite uređaj.

Više informacija o cmdlet komandi za konfiguraciju bezbednog pokretanja i o tome kako da je koristite za DBX ispravke potražite u članku Set-Secure.

Provera da li je ažuriranje uspelo  

Kada uspešno dovršite korake u prethodnom odeljku i ponovo pokrenete uređaj, pratite ove korake da biste potvrdili da je ispravka uspešno primenjena. Nakon uspešne verifikacije, FUNKCIJA GRUB više neće uticati na uređaj.

1. Preuzmite DBX skripte za verifikaciju ispravki sa ove veb stranice GitHub Gist.

2. Izdvojite skripte i biblioteke iz komprimovane datoteke.

3. Pokrenite sledeću PowerShell skriptu unutar fascikle koja sadrži proširene skripte i biblioteke da biste verifikovali DBX ispravku:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Beleške: Ako je primenjena DBX ispravka koja odgovara verzijama iz jula 2020. ili oktobra 2020. iz ove arhive datoteke liste opoziva, umesto toga pokrenite sledeću odgovarajuću komandu:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Proverite da li se izlaz podudara sa očekivanim rezultatom.
   
   

FAQ

P1: Šta znači poruka o grešci "Get-SecureBootUEFI: Cmdlet komande nisu podržane na ovoj platformi"?

A1: Ova poruka o grešci ukazuje na to da je funkcija NO Bezbedno pokretanje omogućena na računaru. Zbog toga NA ovaj uređaj NE utiče GRUB ranjivost. Nije potrebna nikakva dalja radnja.

P2: Kako da konfigurišem uređaj tako da ima poverenja u UEFI CA ili da ne smatram pouzdanim? 

A2: Preporučujemo da se obratite dobavljaču OEM proizvođača. 

Za Microsoft Surface promenite postavku bezbednog pokretanja na "Samo Microsoft", a zatim pokrenite sledeću PowerShell komandu (rezultat bi trebalo da bude "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Više informacija o konfigurisanju za Microsoft Surface potražite u članku Upravljanje surface UEFI postavkama – Surface | Microsoft Docs.

P3: Da li ovaj problem utiče na Azure IaaS generaciju 1 i 2. generaciju virtuelnih mašina? 

A3: Ne. Azure virtuelne mašine gen1 i Gen2 ne podržavaju funkciju bezbednog pokretanja. Prema tome, oni nisu zaraženi lancem poverenja. 

P4: Da li se ADV200011 i CVE-2020-0689 odnose na istu ranjivost koja je povezana sa bezbednim pokretanjem? 

A: Ne. Ovi saveti za bezbednost opisuju različite ranjivosti. "ADV200011" se odnosi na ranjivost u GRUB (Linux komponenti) koja može dovesti do zaoblaženja bezbednog pokretanja. "CVE-2020-0689" se odnosi na bezbednosnu funkciju koja zaobilazi ranjivost koja postoji u bezbednom pokretanju. 

P5: Ne mogu da pokrenem ni jednu Od PowerShell skripti. Šta da radim?

A: Proverite PowerShell smernice za izvršavanje tako što ćete pokrenuti komandu Get-ExecutionPolicy . U zavisnosti od izlaza, možda ćete morati da ažurirate smernice za izvršavanje:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoft Docs