KB4535680: การอัปเดตความปลอดภัยสําหรับ Secure Boot DBX: 12 มกราคม 2021

ปัญหา

วิธีแก้ไขปัญหา

เฟิร์มแวร์ของผู้ผลิตอุปกรณ์ดั้งเดิม (OEM) บางตัวอาจไม่อนุญาตให้ติดตั้งการอัปเดตนี้

เมื่อต้องการแก้ไขปัญหานี้ ให้ติดต่อ OEM เฟิร์มแวร์ของคุณ

หาก BitLocker นโยบายกลุ่ม กําหนดค่าโปรไฟล์การตรวจสอบแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิมถูกเปิดใช้งาน และ PCR7 ถูกเลือกตามนโยบาย อาจทําให้เกิดคีย์การกู้คืน BitLocker ที่จําเป็นบนอุปกรณ์บางอย่างที่ไม่สามารถทําการผูกข้อมูล PCR7 ได้

เมื่อต้องการดูสถานะการผูกข้อมูล PCR7 ให้เรียกใช้เครื่องมือ Microsoft System Information (Msinfo32.exe) ที่มีสิทธิ์ระดับผู้ดูแลระบบ

เมื่อต้องการแก้ไขปัญหานี้ ให้เลือกทําอย่างใดอย่างหนึ่งต่อไปนี้ตามการกําหนดค่า Credential Guard ก่อนที่คุณจะปรับใช้การอัปเดตนี้:

• บนอุปกรณ์ที่ไม่ได้เปิดใช้งาน Credential Gard ให้เรียกใช้คําสั่งต่อไปนี้จากพร้อมท์คําสั่งของผู้ดูแลระบบเพื่อหยุด BitLocker ชั่วคราวสําหรับรอบการเริ่มระบบใหม่ 1 รอบ:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  จากนั้นรีสตาร์ตอุปกรณ์เพื่อดําเนินการป้องกัน BitLocker ต่อ
  
  หมาย เหตุ อย่าเปิดใช้งานการป้องกัน BitLocker โดยไม่รีสตาร์ตอุปกรณ์เพิ่มเติม เนื่องจากจะทําให้มีการกู้คืน BitLocker

• บนอุปกรณ์ที่เปิดใช้งาน Credential Guard อาจมีการเริ่มระบบใหม่หลายครั้งระหว่างการอัปเดตที่จําเป็นต้องหยุด BitLocker ให้หยุดชั่วคราว เรียกใช้คําสั่งต่อไปนี้จากพร้อมท์คําสั่งของผู้ดูแลระบบเพื่อหยุด BitLocker ชั่วคราวสําหรับรอบการเริ่มระบบใหม่ 3 รอบ Manage-bde –Protectors –Disable C: -RebootCount 3

  การอัปเดตนี้คาดว่าจะเริ่มระบบใหม่สองครั้ง รีสตาร์ตอุปกรณ์อีกครั้งเพื่อดําเนินการป้องกัน BitLocker ต่อ

  หมายเหตุ อย่าเปิดใช้งานการป้องกัน BitLocker โดยไม่รีสตาร์ตเพิ่มเติมเนื่องจากอาจส่งผลให้มีการกู้คืน BitLocker

คุณอาจป้อนการกู้คืน Bitlocker หากมีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ขัดแย้งกันหลังจากเปิดใช้งาน BitLocker ในสภาพแวดล้อม การกู้คืน Bitlocker สามารถทริกเกอร์ได้เนื่องจากการตั้งค่านโยบายกลุ่มด้านล่าง:

• บังคับ การกําหนดค่าที่ชัดเจนของการเข้าเล่ม PCR ที่แตกต่างจากสิ่งที่ BitLocker เลือกไว้แล้ว

• การกําหนดค่า GP "อนุญาตการบูตแบบปลอดภัยสําหรับการตรวจสอบความถูกต้องความถูกต้อง" เพื่อยกเลิกการอนุญาตการบูตแบบปลอดภัยสําหรับการตรวจสอบความถูกต้องของบูธแต่ BitLocker กําลังใช้การบูตแบบปลอดภัย (PCR7) อยู่แล้ว

• กําลังกําหนดค่านโยบายกลุ่มให้ต้องการการรับรองความถูกต้องเพิ่มเติมระหว่างการเริ่มต้นระบบ แต่ BitLocker ได้รับการกําหนดค่าก่อนที่จะปรับใช้นโยบายกลุ่มนี้

หากการอัปเดตนี้ถูกนําไปใช้แล้วและอุปกรณ์ยังไม่ได้เริ่มระบบใหม่ ให้หยุด BitLocker ชั่วคราวและเริ่มระบบใหม่หลังจากทําตามขั้นตอนด้านล่าง:

• หากมีการตั้งค่าการกําหนดค่า PCR แบบเปิดเผยผ่านนโยบายกลุ่มหรือนโยบายถูกกําหนดค่าให้ไม่อนุญาตให้ใช้การบูตแบบปลอดภัยสําหรับการตรวจสอบความถูกต้อง การหยุดชั่วคราวและดําเนินการ BitLocker ต่อ เพื่อล้างข้อขัดแย้ง GP

• ถ้านโยบาย ต้องการการรับรองความถูกต้องเพิ่มเติมระหว่างการเริ่มต้นระบบ ถูกกําหนดค่าให้ต้องใช้ TPM และ PIN ให้เรียกใช้คําสั่งต่อไปนี้จากพร้อมท์คําสั่งการดูแลระบบ และใส่ PIN ที่ต้องการ: manage-bde -protectors -add c: -TPMAndPin

• ถ้านโยบาย ต้องการการรับรองความถูกต้องเพิ่มเติมระหว่างการเริ่มต้นระบบ ถูกกําหนดค่าให้ต้องใช้คีย์การเริ่มต้น ให้ดําเนินการคําสั่งต่อไปนี้เพื่อสร้างคีย์การเริ่มต้นระบบ: manage-bde -protectors -add c: -tpmandstartupkey <path to external key directory>

• ถ้านโยบาย ต้องการการรับรองความถูกต้องเพิ่มเติมระหว่างการเริ่มต้นระบบ ถูกกําหนดค่าให้ต้องใช้คีย์การเริ่มต้นระบบและ PIN ให้ดําเนินการคําสั่งต่อไปนี้จากพร้อมท์คําสั่งAdminเพื่อสร้างคีย์ Pin และ startup เมื่อได้รับพร้อมท์ ให้ป้อน PIN ที่ต้องการ: manage-bde -protectors -add c: -tpmandpinandstartupkey <เส้นทางไปยังไดเรกทอรีคีย์ภายนอก>

การอัปเดตนี้อาจไม่ติดตั้งบนอุปกรณ์ที่มีไฟล์ตัวจัดการการเริ่มต้นระบบที่ไม่ใช่ของ Microsoft bootx64.efi ที่ไม่มีลายเซ็น  อาจมีการเสนอและให้การอัปเดตนี้อีกครั้งผ่านWindows Update แต่อาจไม่ได้ติดตั้ง  เมื่อคุณพยายามติดตั้งการอัปเดตนี้ด้วยตนเอง คุณอาจได้รับข้อผิดพลาด "ไม่ได้ติดตั้งการอัปเดตบางอย่าง" แสดงรายการ KB4565680  คุณยังสามารถตรวจสอบไฟล์ CBS Log ใน %systemroot%\logs\cbs สําหรับข้อผิดพลาดต่อไปนี้: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): ข้อผิดพลาดTRUST_E_NOSIGNATUREเกิดขึ้นในฟังก์ชัน Windows::WCP::SecureBoot::BasicInstaller::นิพจน์การติดตั้ง: ApplySecureBootUpdate( dwAvailableUpdates)

เรากําลังพยายามแก้ไขปัญหาและคาดว่าจะมีแนวทางแก้ไขที่พร้อมใช้งานสําหรับ Windows 10 เวอร์ชัน 1909, Windows 10 เวอร์ชัน 2004 และ Windows 10 เวอร์ชัน 20H2 ในปลายเดือนมีนาคม  Windows รุ่นที่รองรับที่เหลืออยู่คาดว่าจะมีโซลูชันที่พร้อมใช้งานในกลางเดือนเมษายน

สําหรับคําแนะนําเพิ่มเติมก่อนการเผยแพร่ความละเอียด โปรดติดต่อผู้ผลิตอุปกรณ์ของคุณ (OEM)