KB5025885: Kako upravljati preklice upravitelja zagona sistema Windows za spremembe varnega zagona, povezane s CVE-2023-24932

V tem članku

• Povzetek

  • Ukrepajte

  • Obseg učinka

  • Razumevanje tveganj

  • Znane težave

• Navodila za to izdajo

• Smernice za uvajanje ublažitve posledic

• Zagonski medij

• Posodabljanje namestitvenega medija v sistemu Windows

• Časovna usklajenost posodobitev

• Napake dnevnika dogodkov sistema Windows, povezane s CVE-2023-24932

• Pogosta vprašanja

• Odpravljanje težav z zagonom

• Postopek obnovitve

• Sklici

• Dnevnik sprememb

Povzetek

V tem članku je opisana zaščita pred javno razkritim obhodom varnostne funkcije varnega zagona, ki uporablja bootkit BlackLotus UEFI, ki jim sledi CVE-2023-24932, kako omogočiti ublažitev posledic in navodila za zagonski medij. Zagonski komplet je zlonameren program, ki je zasnovan tako, da se čim prej naloži v zaporedju zagona naprav za nadzor zagona operacijskega sistema.

Microsoft priporoča varni zagon, da ustvari varno in zaupanja vredno pot iz poenotenega programskega vmesnika EFI prek zaporedja zaupanja vrednih zagonov jedra sistema Windows. Varni zagon pomaga preprečiti zlonamerno programsko opremo za zagon v zaporedju zagona. Če onemogočite varni zagon, lahko napravo okuži zlonamerna programska oprema za bootkit. Če želite popraviti obhod varnega zagona, ki je opisan v CVE-2023-24932, morate opisati upravitelje zagona. To lahko povzroči težave pri nekaterih konfiguracijah zagona naprave.

Ublažitev posledic obhoda varnega zagona, podrobno opisana v CVE-2023-24932 , je vključena v varnostne posodobitve sistema Windows, ki so bile izdane 9. julija 2024 ali po tem. Vendar pa te ublažitve posledic privzeto niso omogočene. S temi posodobitvami priporočamo, da začnete ocenjujeti te spremembe v svojem okolju. Celoten urnik je opisan v razdelku Časovna usklajenost posodobitev.

Preden omogočite te ublažitve posledic, morate temeljito pregledati podrobnosti v tem članku in ugotoviti, ali morate omogočiti ublažitev posledic ali počakati na microsoftovo prihodnjo posodobitev. Če omogočite ublažitev posledic, morate preveriti, ali so vaše naprave posodobljene in pripravljene, ter razumeti tveganja, opisana v tem članku. 

Navodila za to izdajo

Za to izdajo upoštevajte ta dva koraka.

1. korak: Namestite varnostno posodobitev sistema Windows

Namestite mesečno varnostno posodobitev sistema Windows, izdano 9. julija 2024 ali po tem, v podprtih napravah s sistemom Windows. Te posodobitve vključujejo ublažitev posledic za CVE-2023-24932, vendar privzeto niso omogočene. Ta korak morajo dokončati vse naprave s sistemom Windows, ne glede na to, ali nameravate uvesti ublažitve posledic.

2. korak: Ocenite spremembe

Priporočamo, da naredite to:

• Seznanite se s prvima dvema ublažitvijo posledic, ki omogočata posodobitev zbirke podatkov za varni zagon in posodabljanje upravitelja zagona.

• Preglejte posodobljen urnik.

• Začnite preskušati prvi dve ublažitvi posledic za reprezentativne naprave iz vašega okolja.

• Začnite načrtovati uvedbo.

3. korak: Uveljavite spremembe

Priporočamo, da razumete tveganja, označena v razdelku Razumevanje tveganja.

• Seznanite se z vplivom na obnovitev in drugim zagonskimi mediji.

• Začnite preskušati tretjo ublažitev, ki ne zaupa podpisovanju potrdila, uporabljenega za vse prejšnje upravitelje zagona sistema Windows.

Smernice za uvajanje ublažitve posledic

Preden sledite tem korakom za uporabo ublažitev posledic, namestite mesečno posodobitev servisiranja sistema Windows, izdano 9. julija 2024, ali po tem, v podprtih napravah s sistemom Windows. Ta posodobitev vključuje ublažitev posledic za CVE-2023-24932, vendar privzeto niso omogočena. Ta korak morajo za ublažitev posledic dokončati vse naprave s sistemom Windows, ne glede na vaš načrt.

Če želite uvesti posodobitev in uveljaviti preklice, upoštevajte ta navodila:

1. Namestite posodobljene definicije potrdil v DB.

   V tem koraku boste potrdilo »Windows UEFI CA 2023« dodali v »zbirko podatkov za podpis varnega zagona« vmesnika UEFI (DB). Če to potrdilo dodate v DB, vdelana programska oprema naprave zaupa zagonskih aplikacijam, ki jih je podpisalo to potrdilo.

   1. Odprite ukazni poziv skrbnika in nastavite registrski ključ tako, da izvede posodobitev na DB tako, da vnesete ta ukaz:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      POMEMBEN Preden nadaljujete z 2. in 3. korakom, dvakrat znova zaženite napravo, da dokončate namestitev posodobitve.

   2. Zaženite ta ukaz PowerShell kot skrbnik in preverite, ali je bila DB uspešno posodobljena. Ta ukaz mora vrniti vrednost True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Posodobite upravitelja zagona v svoji napravi.

   V tem koraku boste v napravo namestili aplikacijo upravitelja zagona, ki je podpisana s potrdilom »Windows UEFI CA 2023«.

   1. Odprite ukazni poziv skrbnika in nastavite registrski ključ, da namestite upravitelja zagona s podpisom »Windows UEFI CA 2023«:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Dvakrat znova zaženite napravo.

   3. Kot skrbnik namestite particijo EFI, da jo pripravite za pregled:

      mountvol s: /s

   4. Preverite, ali je datoteka »s:\efi\microsoft\boot\bootmgfw.efi« podpisana s potrdilom »Windows UEFI CA 2023«. To naredite tako:

      1. Kliknite Start, v iskalno polje vnesite ukazni poziv in nato kliknite Ukazni poziv.

      2. V okno ukaznega poziva vnesite ta ukaz in pritisnite Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. V upravitelju datotek z desno tipko miške kliknite datoteko C:\bootmgfw_2023.efi, kliknite Lastnosti in nato izberite zavihek Digitalni podpisi.

      4. Na seznamu Podpis potrdite, da veriga potrdil vključuje Windows UEFI CA 2023. Veriga potrdil se mora ujemati s tem posnetkom zaslona:
         
         

3. Omogoči preklic.

   Seznam prepovedanih naslovov UEFI (DBX) se uporablja za blokiranje, da se moduli UEFI, ki niso vreden zaupanja, ne nana ajo na nalaganje. V tem koraku boste s posodobitvijo DBX v DBX dodali potrdilo »Windows Production CA 2011«. Zaradi tega ne bodo več zaupanja vredni vsi upravitelji zagona, ki jih je podpisalo to potrdilo.

   OPOZORILO: Pred uporabo tretje ublažitve posledic ustvarite obnovitveni pomnilniški ključek, ki ga lahko uporabite za zagon sistema. Če želite več informacij o tem, kako to naredite, glejte razdelek Posodabljanje namestitvenega medija za Windows.

   Če se vaš sistem vrne v stanje, ki ga ni mogoče zagnati, sledite korakom v razdelku Postopek obnovitve, da ponastavite napravo na stanje pred preklicem naročnine.

   1. Dodajte potrdilo »Windows Production PCA 2011« na seznam prepovedanih naslovov UEFI za varni zagon (DBX). To naredite tako, da odprete okno ukaznega poziva kot skrbnik, vnesete ta ukaz in pritisnete Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Dvakrat znova zaženite napravo in preverite , ali se je v celoti znova zagnala.

   3. Preverite, ali sta bila namestitev in seznam ukinjenih naslovov uspešno uporabljena, tako da v dnevniku dogodkov poiščite dogodek 1037.
      
      Če želite informacije o dogodku 1037, glejte KB5016061: dogodki posodobitve spremenljivih posodobitev DB za varni zagon in DBX. Lahko pa kot skrbnik zaženete ta ukaz PowerShell in se prepričate, da vrne vrednost »True«:

      [System.text.encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) - match "Microsoft Windows Production PCA 2011" 

4. Uporabite posodobitev SVN za vdelano programsko opremo.
   
   Upravitelj zagona, uveden v 2. koraku, ima vgrajeno novo funkcijo samo ukinjenja. Ko se upravitelj zagona zažene, izvede samodejno preverjanje tako, da primerja številko SVN (Secure Version Number), ki je shranjena v vdelani programski opremi, z SVN-jem, vgrajenim v upravitelja zagona. Če je upravitelj zagona SVN nižji od svn, ki je shranjen v vdelani programski opremi, upravitelj zagona zavrne zagon. Ta funkcija napadalcu preprečuje povrnitev zagonskega upravitelja na starejšo, ne posodobljeno različico.
   
   Ko bo v upravitelju zagona odpravljena pomembna varnostna težava, bo številka SVN povečana v upravitelju zagona in posodobitvi vdelane programske opreme. Obe posodobitvi bosta izdani v isti zbirni posodobitvi, da se zagotovi, da so naprave s popravki zaščitene. Vsakič, ko posodobite SVN, je treba posodobiti vsak zagonski medij.
   
   Od 9. julija 2024 se posodobitve povečujejo v upravitelju zagona in posodobitev vdelane programske opreme. Posodobitev vdelane programske opreme je izbirna in jo lahko uporabite tako:

   1. Odprite ukazni poziv skrbnika in zaženite ta ukaz, da namestite upravitelja zagona, podpisanega »Windows UEFI CA 2023«:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Dvakrat znova zaženite napravo.

Zagonski medij

Ko se faza uvajanja začne v vašem okolju, je pomembno posodobiti zagonski medij.

Navodila za posodobitev zagonskega medija bodo na voljo s prihodnjimi posodobitvami tega članka. Glejte naslednji razdelek za ustvarjanje pogona USB za obnovitev naprave.

Posodabljanje namestitvenega medija v sistemu Windows

Aplikacijo Ustvarjanje obnovitvenega pogona lahko uporabite tako, da upoštevate te korake. Ta medij se lahko uporabi za ponovno namestitev naprave, če pride do večje težave, kot je napaka strojne opreme, boste lahko z obnovitvenim pogonom znova namestili sistem Windows.

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. julija 2024 in prvi korak za ublažitev posledic (posodobitev zbirke podatkov za varni zagon).

2. V začetnem meniju poiščite programček nadzorne plošče »Ustvari obnovitveni pogon« in sledite navodilom za ustvarjanje obnovitvenega pogona.

3. Ko je novo ustvarjeni pogon USB nameščen (na primer pogon »D:«), kot skrbnik zaženite te ukaze. Vnesite vsakega od teh ukazov in pritisnite tipko Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Če namestitveno predstavnost v svojem okolju upravljate z namestitvenim medijem za Windows Update z navodili za dinamično posodobitev, sledite tem korakom. Ti dodatni koraki bodo ustvarili zagonski pomnilniški ključek, ki uporablja zagonske datoteke, podpisane s potrdilom podpisa »Windows UEFI CA 2023«.

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. julija 2024 in prvi korak za ublažitev posledic (posodobitev zbirke podatkov za varni zagon).

2. Sledite korakom v spodnji povezavi za ustvarjanje medijev s posodobitvami z dne 9. julija 2024. Posodobitev namestitvenega medija sistema Windows z dinamično posodobitvijo

3. Položite vsebino nosilca podatkov na ključek USB in vstavite ključek USB kot črko pogona. Na primer, ključek palca pritrdite kot »D:«.

4. Kot skrbnik v ukaznem oknu zaženite te ukaze. Vnesite vsakega od teh ukazov in pritisnite tipko Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Če se v napravi nastavitve varnega zagona ponastavijo na privzete nastavitve po ublažitvi posledic, se naprava ne zažene. Če želite odpraviti to težavo, je aplikacija za popravilo vključena v posodobitve z dne 9. julija 2024, ki jih je mogoče uporabiti za ponovno uporabo potrdila »Windows UEFI CA 2023« v zbirki podatkov (ublažitev #1).

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. julija 2024.

2. V ukaznem oknu kopirajte aplikacijo za obnovitev na pogon USB s temi ukazi (če je pogon »D:«). Vsak ukaz vnesite posebej in pritisnite tipko Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. V napravi, v kateri so nastavitve varnega zagona ponastavljene na privzete nastavitve, vstavite pomnilniški ključek, znova zaženite napravo in zaženite napravo s pogona.

Časovna usklajenost posodobitev

Posodobitve so izdane na naslednji način:

• Začetna uvedba Ta faza se je začela s posodobitvami, izdanimi 9. maja 2023, in je osnovne ublažitve posledic opravila opravila z ročnimi koraki, ki omogočajo ublažitev posledic.

• Drugo uvajanje Ta faza se je začela s posodobitvami, izdanimi 11. julija 2023, s katerimi so bili dodani poenostavljeni koraki za ublažitev te težave.

• Faza ocenjevanja Ta faza se bo začel 9. aprila 2024 in dodala dodatne ublažitve posledic upravitelja zagona.

• Faza uvajanja Zdaj bomo vse stranke spodbujali, da začnejo uvajati ublažitve posledic in posodabljati medije.

• Faza uveljavljanja Faza izvajanja, ki bo ublažitev posledic trajna. Datum te faze bo objavljen pozneje.

Opomba Urnik izdaje se lahko po potrebi spremeni.

Napake dnevnika dogodkov sistema Windows, povezane s CVE-2023-24932

Vnosi v dnevnik dogodkov sistema Windows, ki se nanašajo na posodobitev zbirke podatkov (DB in DBX), so podrobno opisani v članku KB5016061: Dogodki posodobitve spremenljivk DB in DBX za varni zagon.

Dogodki »uspeha«, povezani z uporabo ublažitev posledic, so navedeni v spodnji tabeli.

Pogosta vprašanja

Odpravljanje težav z zagonom

Ko so vse tri ublažitve posledic uporabljene, se vdelana programska oprema naprave ne zažene z upraviteljem zagona, ki ga je podpisal Windows Production PCA 2011. Napake pri zagonu, ki jih je prijavila vdelana programska oprema, so značilne za napravo. Glejte razdelek Postopek obnovitve .

Postopek obnovitve

Če pride do napake pri uporabi ublažitev posledic in ne morete zagnati naprave ali pa morate zagnati napravo z zunanjega medija (na primer s palčnim pogonom ali zagonom PXE), poskusite naslednje predloge:

1. Izklopite varni zagon.
   
   Ta postopek se razlikuje med proizvajalci naprav in modeli. Vnesite meni BIOS-a UEFI za naprave in se pomaknite do nastavitev varnega zagona ter ga izklopite. Podrobnosti o tem postopku poiščite v dokumentaciji proizvajalca naprave. Več podrobnosti najdete v članku Onemogočanje varnega zagona.

2. Ponastavite ključe za varni zagon na tovarniške privzete nastavitve.

   Če naprava podpira ponastavitev ključev za varni zagon na tovarniške privzete nastavitve, izvedite to dejanje zdaj.

   OPOMBA Nekateri izdelovalci naprav imajo možnost »Počisti« in »Ponastavi« za spremenljivke varnega zagona, v tem primeru pa je treba uporabiti možnost »Ponastavi«. Cilj je, da se spremenljivke varnega zagona nazaj v privzete vrednosti proizvajalca.

   Naprava bi se morala zagnati zdaj, vendar upoštevajte, da je ranljiva za zlonamerno programsko opremo kompleta za zagon. Če želite znova omogočiti varni zagon, dokončajte 5. korak tega postopka obnovitve.

3. Poskusite sistem Windows zagnati s sistemskega diska.

   1. Prijava v Sistem Windows.

   2. V ukaznem pozivu skrbnika zaženite te ukaze, da obnovite zagonske datoteke v particiji za zagon sistema EFI. Vsak ukaz vnesite posebej in pritisnite tipko Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Zagon BCDBoot vrne »Zagonske datoteke so bile uspešno ustvarjene«. Ko se prikaže to sporočilo, znova zaženite napravo nazaj v sistem Windows.

4. Če 3. korak ne obnovi uspešno naprave, znova namestite sistem Windows.

   1. Zaženite napravo z obstoječega obnovitvenega medija.

   2. Nadaljujte z namestitvijo sistema Windows z obnovitvenim medijem.

   3. Prijava v Sistem Windows.

   4. Znova zaženite sistem Windows, da preverite, ali se naprava znova zažene v sistemu Windows.

5. Znova omogočite varni zagon in znova zaženite napravo.
   
   Vnesite meni vmesnika UEFI naprave in se pomaknite do nastavitev varnega zagona ter ga vklopite. Podrobnosti o tem postopku poiščite v dokumentaciji proizvajalca naprave. Več informacij najdete v razdelku »Vnovično omogočanje varnega zagona«.

Sklici

• Navodila za preiskovanje napadov s CVE-2022-21894: Kampanja BlackLotus

• Varni zagon

• Omogočanje varnega zagona v včlanjenih napravah s sistemom Windows

• Za dogodke, ki se ustvarijo pri uporabi posodobitev DBX, glejte KB5016061: Naslavljanje ranljivih in ukinjenih upraviteljev zagona.