KB4535680: Säkerhetsuppdatering för Säker start DBX: 12 januari 2021

Problem

Tillfällig lösning

Vissa inbyggd programvara från oem-tillverkare kanske inte tillåter installation av den här uppdateringen.

Lös problemet genom att kontakta OEM-tillverkaren för den inbyggda programvaran.

Om BitLocker grupprincip Konfigurera TPM-plattformens verifieringsprofil för inbyggda UEFI-konfigurationer är aktiverat och PCR7 väljs av principen, kan det resultera i att BitLocker-återställningsnyckeln krävs på vissa enheter där PCR7-bindning inte är möjlig.

Om du vill visa STATUS för PCR7-bindning kör du verktyget Microsoft Systeminformation (Msinfo32.exe) med administratörsbehörighet.

Du kan lösa problemet genom att göra något av följande baserat på konfigurering av skydd för autentiseringsuppgifter innan du distribuerar den här uppdateringen:

• På en enhet som inte har Credential Gard aktiverat kör du följande kommando från en kommandotolk för administratör för att pausa BitLocker i en omstartscykel:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Starta sedan om enheten för att återuppta BitLocker-skyddet.
  
  Observera Aktivera inte BitLocker-skydd utan att starta om enheten eftersom det skulle resultera i BitLocker-återställning.

• På en enhet med Credential Guard aktiverat kan det finnas flera omstarter under uppdateringen som kräver att BitLocker pausas. Kör följande kommando från en kommandotolk för administratör för att pausa BitLocker i 3 omstartscykler. Manage-bde –Protectors –Disable C: -RebootCount 3

  Den här uppdateringen förväntas starta om systemet två gånger. Starta om enheten igen för att återuppta BitLocker-skyddet.

  Obs! Aktivera inte BitLocker-skydd utan att starta om eftersom det skulle resultera i BitLocker-återställning.

Du kan ange Bitlocker-återställning om bitLocker-grupprincipinställningar i konflikt har konfigurerats när BitLocker har aktiverats i miljön. Bitlocker-återställning kan utlösas på grund av någon av inställningarna nedan grupprincip:

• Tvinga explicit konfiguration av PCR-bindningar som skiljer sig från vad som redan valts av BitLocker.

• Konfigurera GP "Allow Secure Boot for integrity validation" för att avaktivera Säker start för integritetsverifiering, men BitLocker använder redan säker start (PCR7).

• Att konfigurera grupprincip att Kräva ytterligare autentisering vid start men BitLocker har konfigurerats innan den här grupprincipen distribueras.

Om den här uppdateringen redan har installerats och enheten inte har startats om pausar du BitLocker och startar om efter att du har utfört stegen nedan:

• Om en explicit PCR-konfiguration har angetts via en grupprincip eller om en princip har konfigurerats för att inte tillåta säker start för verifiering av integritet kan du pausa och återuppta BitLocker för att rensa GP-konflikterna.

• Om principen Kräv ytterligare autentisering vid start är konfigurerad för att kräva TPM och PIN kör du följande kommando från en kommandotolk för administration och anger önskad PIN-kod: manage-bde -protectors -add c: -TPMAndPin

• Om principen Kräv ytterligare autentisering vid start är konfigurerad för att kräva en startnyckel kör du följande kommando för att skapa startnyckel: manage-bde -protectors -add c: -tpmandstartupkey <sökväg till katalogen med externa nycklar>

• Om principen Kräv ytterligare autentisering vid start är konfigurerad för att kräva startnyckel och pin-kod kör du följande kommando från Admin kommandotolk för att skapa Pin-kod och startnyckel. Ange önskad PIN-kod när du uppmanas till det: manage-bde -protectors -add c: -tpmandpinandstartupkey <sökväg till extern nyckelkatalog>

Den här uppdateringen kanske inte installeras på enheter med en osignerad bootx64.efi-fil som inte är en Microsoft bootx64.efi-starthanterare.  Den här uppdateringen kan erbjudas och erbjudas på nytt via Windows Update men kanske inte installeras.  När du försöker installera den här uppdateringen manuellt kan du få felmeddelandet "Vissa uppdateringar installerades inte" med en lista över KB4565680.  Du kan också söka efter följande fel i CBS-loggfilen i %systemroot%\logs\cbs: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Fel TRUST_E_NOSIGNATURE har sitt ursprung i funktionen Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Vi arbetar med en lösning som förväntas bli tillgänglig för Windows 10 version 1909, Windows 10 version 2004 och Windows 10 version 20H2 i slutet av mars.  De återstående versionerna av Windows som stöds beräknas ha en tillgänglig lösning i mitten av april.

Kontakta enhetstillverkaren (OEM) om du vill ha mer vägledning innan upplösningen släpps.