Microsoft-vägledning för hur du använder Secure Boot DBX-uppdatering (KB4575994)

Använda en DBX-uppdatering i Windows

När du har läst varningarna i föregående avsnitt och kontrollerat att enheten är kompatibel följer du de här stegen för att uppdatera DBX för säker start:

1. Ladda ned lämplig UEFI-fil (Revocation List File) (Dbxupdate.bin) för din plattform från den här UEFI-webbsidan.

2. Du måste dela upp filen Dbxupdate.bin i nödvändiga komponenter för att kunna använda dem med PowerShell-cmdletar. Gör så här:

   1. Ladda ned PowerShell-skriptet från den här PowerShell-galleriet webbsidan.

   2. Kör följande cmdlet för att hitta skriptet:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Kontrollera att cmdleten laddar ned skriptet och tillhandahåller utdatainformation, inklusive Namn, Version, Författare, PubliceratDatum, InstalledDate och InstalledLocation.

   4. Kör följande cmdletar:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. Kontrollera att den SplitDbxContent.ps1 filen nu finns i mappen Skript.

   6. Kör följande PowerShell-skript på filen Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Kontrollera att kommandot skapade följande filer.

      

      • Content.bin – uppdatera innehåll

      • Signature.p7 – signatur som godkänner uppdateringsprocessen

3. Kör cmdleten Set-SecureBootUefi i en administrativ PowerShell-session för att tillämpa DBX-uppdateringen:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Förväntad utdata
   
   

4. Starta om enheten för att slutföra uppdateringsinstallationen.

Mer information om cmdlet:en för konfiguration av säker start och hur du använder den för DBX-uppdateringar finns i Set-Secure.

Kontrollera att uppdateringen lyckades  

När du har slutfört stegen i föregående avsnitt och startat om enheten följer du de här stegen för att kontrollera att uppdateringen har tillämpats. När verifieringen har slutförts påverkas inte enheten längre av GRUB-säkerhetsrisken.

1. Ladda ned dbx-uppdateringsverifieringsskripten från den här GitHub-Gist-webbsidan.

2. Extrahera skript och binärfiler från den komprimerade filen.

3. Kör följande PowerShell-skript i mappen som innehåller de utökade skripten och binärfilerna för att verifiera DBX-uppdateringen:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Obs! Om en DBX-uppdatering som matchar versionerna för juli 2020 eller oktober 2020 från det här arkivet för återkallningslistan tillämpades kör du följande kommando i stället:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Kontrollera att resultatet matchar det förväntade resultatet.
   
   

FAQ

F1: Vad innebär felmeddelandet "Get-SecureBootUEFI: Cmdlets not supported on this platform"?

A1: Det här felmeddelandet anger att funktionen INGEN säker start är aktiverad på datorn. Därför påverkas inte den här enheten av GRUB-säkerhetsproblemet. Inga ytterligare åtgärder krävs.

F2: Hur gör jag för att konfigurera enheten att lita på eller inte lita på UEFI CA från tredje part? 

A2: Vi rekommenderar att du kontaktar oem-leverantören. 

För Microsoft Surface ändrar du inställningen för Säker start till "Endast Microsoft" och kör sedan följande PowerShell-kommando (resultatet ska vara "Falskt"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Mer information om hur du konfigurerar för Microsoft Surface finns i Hantera UEFI-inställningar för Surface – Surface | Microsoft Docs.

F3: Påverkar det här problemet virtuella Azure IaaS generation 1- och generation 2-datorer? 

A3: Nej. Virtuella Azure-gästdatorer Gen1 och Gen2 stöder inte funktionen Säker start. Därför påverkas de inte av kedjan av förtroendeattack. 

F4: Refererar ADV200011 och CVE-2020-0689 till samma sårbarhet som är relaterad till Säker start? 

A: Nej. Dessa säkerhetsrekommendationer beskriver olika sårbarheter. "ADV200011" refererar till en säkerhetsrisk i GRUB (Linux-komponent) som kan orsaka en förbikoppling av säker start. "CVE-2020-0689" refererar till en säkerhetsfunktion som finns i Säker start. 

F5: Jag kan inte köra något av PowerShell-skripten. Vad ska jag göra?

A: Verifiera PowerShell-körningsprincipen genom att köra kommandot Get-ExecutionPolicy . Beroende på utdata kan du behöva uppdatera körningsprincipen:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) – PowerShell | Microsoft Docs