KB4535680: Güvenli Önyükleme DBX için güvenlik güncelleştirmesi: 12 Ocak 2021

Sorun

Geçici Çözüm

Bazı orijinal donanım üreticisi (OEM) üretici yazılımı bu güncelleştirmenin yüklenmesine izin vermeyebilir.

Bu sorunu çözmek için üretici yazılımı OEM'inize başvurun.

BitLocker grup ilkesi Yerel UEFI üretici yazılımı yapılandırmaları için TPM platformu doğrulama profilini yapılandırma etkinleştirilirse ve ilke tarafından PCR7 seçilirse, PCR7 bağlamasının mümkün olmadığı bazı cihazlarda BitLocker kurtarma anahtarının gerekli olmasına neden olabilir.

PCR7 bağlama durumunu görüntülemek için, yönetim izinlerine sahip Microsoft Sistem Bilgileri (Msinfo32.exe) aracını çalıştırın.

Bu sorunu geçici olarak çözmek için, bu güncelleştirmeyi dağıtmadan önce credential guard yapılandırmasına göre aşağıdakilerden birini yapın:

• Credential Gard etkinleştirilmemiş bir cihazda, BitLocker'ı 1 yeniden başlatma döngüsü için askıya almak için yönetici komut isteminden aşağıdaki komutu çalıştırın:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Ardından, BitLocker korumasını sürdürmek için cihazı yeniden başlatın.
  
  Not BitLocker'ın kurtarılmasına neden olacağından, cihazı ek olarak yeniden başlatmadan BitLocker korumasını etkinleştirmeyin.

• Credential Guard'ın etkinleştirildiği bir cihazda, güncelleştirme sırasında BitLocker'ın askıya alınmasını gerektiren birden çok yeniden başlatma olabilir. BitLocker'ı 3 yeniden başlatma döngüsü için askıya almak için yönetici komut isteminden aşağıdaki komutu çalıştırın. Manage-bde –Protectors –Disable C: -RebootCount 3

  Bu güncelleştirmenin sistemi iki kez yeniden başlatması beklenir. BitLocker korumasını sürdürmek için cihazı bir kez daha yeniden başlatın.

  Not BitLocker'ın kurtarılmasına neden olacağından, ek olarak yeniden başlatmadan BitLocker korumasını etkinleştirmeyin.

Ortamda BitLocker etkinleştirildikten sonra çakışan BitLocker grup ilkesi ayarları yapılandırılırsa Bitlocker kurtarması girebilirsiniz. Bitlocker kurtarma, aşağıdaki grup ilkesi ayarlarından herhangi biri nedeniyle tetiklenebilir:

• BitLocker tarafından zaten seçilenden farklı pcr bağlamalarının açık yapılandırmasını zorlama.

• Bütünlük doğrulaması için Güvenli önyüklemeye izin vermeyecek şekilde GP "Bütünlük doğrulaması için Güvenli Önyüklemeye İzin Ver" yapılandırması ancak BitLocker zaten güvenli önyükleme (PCR7) kullanıyor.

• Grup ilkesi başlatma sırasında ek Kimlik Doğrulaması gerektirecek şekilde yapılandırma, ancak BitLocker bu grup ilkesini dağıtmadan önce yapılandırılmıştır.

Bu güncelleştirme zaten uygulanmışsa ve cihaz yeniden başlatılmamışsa, BitLocker'ı askıya alın ve aşağıdaki adımları uyguladıktan sonra yeniden başlatın:

• Grup ilkesi aracılığıyla açık bir PCR yapılandırması ayarlandıysa veya ilke bütünlük doğrulaması için güvenli önyüklemenin kullanılmasına izin vermek üzere yapılandırıldıysa, GP çakışmalarını temizlemek için BitLocker'ı askıya alın ve sürdürin.

• Başlangıç sırasında ek kimlik doğrulaması iste ilkesi TPM ve PIN gerektirecek şekilde yapılandırılmışsa, yönetim komut isteminden aşağıdaki komutu çalıştırın ve istenen PIN'i girin: manage-bde -protectors -add c: -TPMAndPin

• Başlatma sırasında ek kimlik doğrulaması iste ilkesi bir başlangıç anahtarı gerektirecek şekilde yapılandırılmışsa, başlangıç anahtarı oluşturmak için şu komutu yürütebilirsiniz: manage-bde -protectors -add c: -tpmandstartupkey <dış anahtar dizinine giden yol>

• Başlatma sırasında ek Kimlik Doğrulaması gerektir ilkesi başlangıç anahtarı ve pin gerektirecek şekilde yapılandırılmışsa, Pin ve başlangıç anahtarı oluşturmak için Yönetici komut isteminden aşağıdaki komutu yürütür. İstendiğinde, istenen PIN'i girin: manage-bde -protectors -add c: -tpmandpinandstartupkey <dış anahtar dizini yolu>

Bu güncelleştirme, imzalanmamış, Microsoft olmayan bootx64.efi önyükleme yöneticisi dosyası olan cihazlara yüklenmeyebilir.  Bu güncelleştirme Windows Update aracılığıyla sunulup yeniden önerilebilir ancak yüklenmeyebilir.  Bu güncelleştirmeyi el ile yüklemeye çalıştığınızda KB4565680 listesini içeren "Bazı güncelleştirmeler yüklenmedi" hatasını alabilirsiniz.  Aşağıdaki hata için %systemroot%\logs\cbs içindeki CBS Günlük dosyasını da de kontrol edebilirsiniz: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Hata TRUST_E_NOSIGNATURE Windows::WCP::SecureBoot::BasicInstaller::Install ifadesi: ApplySecureBootUpdate( dwAvailableUpdates)

Bir çözüm üzerinde çalışıyoruz ve Mart ayının sonunda Windows 10, sürüm 1909, Windows 10, sürüm 2004 ve Windows 10, sürüm 20H2 için bir çözüm sunulacağını tahmin ediyoruz.  Windows'un desteklenen diğer sürümlerinin Nisan ayı ortasında bir çözüme sahip olduğu tahmin edilmektedir.

Çözümün yayımlanmasından önce ek yönergeler için lütfen cihaz üreticinize (OEM) başvurun.