คําแนะนําของ Microsoft สําหรับการใช้การอัปเดต DBX สําหรับบูตแบบปลอดภัย (KB4575994)

การใช้การอัปเดต DBX บน Windows

หลังจากที่คุณอ่านคําเตือนในส่วนก่อนหน้านี้และตรวจสอบว่าอุปกรณ์ของคุณเข้ากันได้ ให้ทําตามขั้นตอนเหล่านี้เพื่ออัปเดต DBX การบูตแบบปลอดภัย:

1. ดาวน์โหลดไฟล์รายการการยกเลิก UEFI ที่เหมาะสม (Dbxupdate.bin) สําหรับแพลตฟอร์มของคุณจากเว็บเพจ UEFI นี้

2. คุณต้องแยกไฟล์ Dbxupdate.bin เป็นส่วนประกอบที่จําเป็นเพื่อนําไปใช้โดยใช้ PowerShell cmdlets โดยทำตามขั้นตอนต่อไปนี้:

   1. ดาวน์โหลดสคริปต์ PowerShell จาก เว็บเพจ PowerShell Gallery นี้

   2. เพื่อช่วยค้นหาสคริปต์ ให้เรียกใช้ cmdlet ต่อไปนี้:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. ตรวจสอบว่า cmdlet ดาวน์โหลดสคริปต์เรียบร้อยแล้ว และให้รายละเอียดผลลัพธ์ รวมถึงชื่อ เวอร์ชัน ผู้เขียน เผยแพร่วันที่ติดตั้ง และ InstalledLocation

   4. เรียกใช้ cmdlets ต่อไปนี้:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. ตรวจสอบว่าไฟล์SplitDbxContent.ps1 อยู่ในโฟลเดอร์ Scripts แล้ว

   6. เรียกใช้สคริปต์ PowerShell ต่อไปนี้บนไฟล์ Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. ตรวจสอบว่าคําสั่งสร้างไฟล์ต่อไปนี้

      

      • Content.bin – อัปเดตเนื้อหา

      • ลายเซ็น.p7 – ลายเซ็นที่อนุมัติกระบวนการอัปเดต

3. ในเซสชัน PowerShell การดูแลระบบ ให้เรียกใช้ cmdlet Set-SecureBootUefi เพื่อใช้การอัปเดต DBX:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   ผลลัพธ์
   
   ที่คาดไว้

4. เมื่อต้องการดําเนินการติดตั้งการอัปเดตให้เสร็จสมบูรณ์ ให้เริ่มการทํางานของอุปกรณ์ใหม่

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับ cmdlet การกําหนดค่าการบูตแบบปลอดภัยและวิธีการใช้สําหรับการอัปเดต DBX โปรดดูที่ Set-Secure

การตรวจสอบว่าการอัปเดตเสร็จเรียบร้อยแล้ว  

หลังจากคุณทําตามขั้นตอนในส่วนก่อนหน้านี้เสร็จเรียบร้อยแล้ว และเริ่มการทํางานของอุปกรณ์ใหม่ ให้ทําตามขั้นตอนเหล่านี้เพื่อตรวจสอบว่าการอัปเดตถูกนําไปใช้เรียบร้อยแล้ว หลังจากการตรวจสอบสําเร็จแล้ว อุปกรณ์ของคุณจะไม่ได้รับผลกระทบจากช่องโหว่ GRUB อีกต่อไป

1. ดาวน์โหลดสคริปต์การตรวจสอบการอัปเดต DBX จากเว็บเพจ GitHub Gist นี้

2. แยกสคริปต์และไบนารีออกจากไฟล์ที่บีบอัด

3. เรียกใช้สคริปต์ PowerShell ต่อไปนี้ภายในโฟลเดอร์ที่มีสคริปต์และไบนารีที่ขยายเพื่อตรวจสอบการอัปเดต DBX:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   หมายเหตุ: หากการอัปเดต DBX ที่ตรงกับเวอร์ชันของเดือนกรกฎาคม 2020 หรือตุลาคม 2020 จากการ เก็บถาวรไฟล์รายการการยกเลิกนี้ ถูกนําไปใช้ ให้เรียกใช้คําสั่งที่เหมาะสมต่อไปนี้แทน:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. ตรวจสอบว่าผลลัพธ์นั้นตรงกับผลลัพธ์ที่คาดไว้
   
   

คำถามที่ถามบ่อย

คําถามที่ 1: ข้อความแสดงข้อผิดพลาด "Get-SecureBootUEFI: Cmdlets ไม่ได้รับการสนับสนุนบนแพลตฟอร์มนี้" หมายถึงอะไร

A1: ข้อความแสดงข้อผิดพลาดนี้ระบุว่าไม่มีการเปิดใช้งานคุณลักษณะการบูตแบบปลอดภัยในคอมพิวเตอร์ ดังนั้น อุปกรณ์นี้จะไม่ได้รับผลกระทบจากช่องโหว่ GRUB ไม่จําเป็นต้องดําเนินการใดๆ เพิ่มเติม

คําถามที่ 2: How do I กําหนดค่าอุปกรณ์ให้เชื่อถือหรือไม่เชื่อถือ UEFI CA ของบริษัทอื่นหรือไม่ 

A2: เราขอแนะนําให้คุณปรึกษาผู้จัดจําหน่าย OEM ของคุณ 

สําหรับ Microsoft Surface เปลี่ยนการตั้งค่าการบูตแบบปลอดภัยเป็น "Microsoft เท่านั้น" แล้วเรียกใช้คําสั่ง PowerShell ต่อไปนี้ (ผลลัพธ์ควรเป็น "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการกําหนดค่าสําหรับ Microsoft Surface ดูที่ จัดการการตั้งค่า Surface UEFI - Surface | เอกสาร Microsoft

คําถามที่ 3: ปัญหานี้ส่งผลกระทบต่อเครื่องเสมือน Azure IaaS Generation 1 และ Generation 2 หรือไม่ 

A3: ไม่ใช่ เครื่องเสมือน Guest ของ Azure Gen1 และ Gen2 ไม่รองรับฟีเจอร์การบูตแบบปลอดภัย ดังนั้นพวกเขาจะไม่ได้รับผลกระทบจากห่วงโซ่ของการโจมตีความไว้วางใจ 

Q4: ทํา ADV200011 และ CVE-2020-0689 อ้างอิงไปยังช่องโหว่เดียวกันกับที่เกี่ยวข้องกับการบูตแบบปลอดภัยหรือไม่ 

A: ไม่ใช่ คําแนะนําด้านความปลอดภัยเหล่านี้จะอธิบายช่องโหว่ที่แตกต่างกัน "ADV200011" หมายถึงช่องโหว่ใน GRUB (คอมโพเนนต์ Linux) ที่อาจทําให้เกิดการเลี่ยงผ่านการบูตแบบปลอดภัย "CVE-2020-0689" หมายถึงช่องโหว่การเลี่ยงผ่านคุณลักษณะความปลอดภัยที่มีอยู่ใน Secure Boot 

คําถามที่ 5: ฉันไม่สามารถเรียกใช้สคริปต์ PowerShell สคริปต์ใดสคริปต์หนึ่งได้ ฉันควรทําอย่างไร

A: ตรวจสอบนโยบายการดําเนินการของ PowerShell โดยการเรียกใช้คําสั่ง Get-ExecutionPolicy คุณอาจต้องอัปเดตนโยบายการดําเนินการโดยขึ้นอยู่กับเอาท์พุท:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | เอกสาร Microsoft