Вказівки корпорації Майкрософт щодо застосування оновлення DBX для безпечного завантаження (KB4575994)

Застосування оновлення DBX у Windows

Прочитавши попередження в попередньому розділі та переконавшись, що пристрій сумісний, виконайте наведені нижче дії, щоб оновити DBX безпечного завантаження:

1. Завантажте відповідний файл списку відкликаних UEFI (Dbxupdate.bin) для своєї платформи з цієї веб-сторінки UEFI.

2. Щоб застосувати їх за допомогою командлетів PowerShell, потрібно розділити файл Dbxupdate.bin на необхідні компоненти. Для цього виконайте описані нижче дії.

   1. Завантажте сценарій PowerShell із цієї веб-сторінки колекції PowerShell.

   2. Щоб знайти сценарій, виконайте такий командлет:

      • Get-InstalledScript -ім'я SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Переконайтеся, що командлет успішно завантажує сценарій і надає відомості про вивід, зокрема Ім'я, Версія, Автор, PublishedDate, InstalledDate і InstalledLocation.

   4. Запустіть такі командлети:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. Переконайтеся, що файл SplitDbxContent.ps1 збережено в папці Сценарії.

   6. Виконайте наведений нижче сценарій PowerShell у файлі Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Переконайтеся, що команда створила такі файли.

      

      • Content.bin – оновлення вмісту

      • Signature.p7 – підпис, який авторизує процес оновлення

3. У сеансі адміністрування PowerShell запустіть командлет Set-SecureBootUefi, щоб застосувати оновлення DBX:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Очікуваний виводу
   
   

4. Щоб завершити процес інсталяції оновлення, перезавантажте пристрій.

Докладні відомості про командлет конфігурації безпечного завантаження та використання його для оновлень DBX див. в статті Set-Secure.

Перевірка успішності оновлення  

Після успішного виконання кроків у попередньому розділі та перезавантаження пристрою виконайте наведені нижче дії, щоб переконатися, що оновлення успішно застосовано. Після успішної перевірки ваш пристрій більше не впливатиме на вразливість GRUB.

1. Завантажте сценарії перевірки оновлення DBX із цієї веб-сторінки GitHub Gist.

2. Видобування сценаріїв і двійкових файлів зі стиснутого файлу.

3. Виконайте наведений нижче сценарій PowerShell у папці, яка містить розгорнуті сценарії та двійкові файли, щоб перевірити оновлення DBX:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Примітка. Якщо було застосовано оновлення DBX, яке відповідає версіям за липень 2020 р. або за жовтень 2020 р. з цього архіву файлів списку відкликаних файлів, виконайте натомість таку відповідну команду:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Переконайтеся, що результат відповідає очікуваному результату.
   
   

FAQ

Запитання 1. Що означає повідомлення про помилку "Get-SecureBootUEFI: Командлети не підтримуються на цій платформі"?

A1: Це повідомлення про помилку вказує на те, що на комп'ютері не ввімкнуто функцію безпечного завантаження. Таким чином, на цей пристрій не впливає вразливість GRUB. Подальші дії не потрібні.

Запитання 2. Як настроїти пристрій як надійний або ненадійний сторонній центр сертифікації UEFI? 

A2: Радимо звернутися до постачальника оригінального обладнання. 

Для Microsoft Surface змініть параметр безпечного завантаження на "Лише Microsoft", а потім виконайте таку команду PowerShell (результат має бути "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Докладні відомості про налаштування для Microsoft Surface див. в статті Керування настройками Surface UEFI – Surface | Документація Microsoft.

Запитання 3. Чи впливає ця проблема на віртуальні машини Azure IaaS покоління 1 і 2 покоління? 

A3: Ні. Функції безпечного завантаження не підтримуються гостьовими віртуальними машинами Azure Gen1 і Gen2. Тому на них не впливає ланцюжок атаки довіри. 

Запитання 4. Чи стосуються ADV200011 і CVE-2020-0689 ту саму вразливість, пов'язану з безпечним завантаженням? 

A: Ні. Ці рекомендації з безпеки описують різні вразливості. "ADV200011" посилається на вразливість GRUB (компонент Linux), яка може призвести до обходу безпечного завантаження. "CVE-2020-0689" посилається на вразливість обходу функцій безпеки, яка існує в безпечному завантаженні. 

Запитання 5. Не вдається запустити будь-який із сценаріїв PowerShell. Що робити?

A: Перевірте політику виконання PowerShell, запустивши команду Get-ExecutionPolicy . Залежно від результатів може знадобитися оновити політику виконання:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Документація Microsoft