KB5025885: CVE-2023-24932:een liittyvien suojatun käynnistyksen muutosten Windows boot Manager -peruutusten hallinta

Tässä artikkelissa

• Yhteenveto

  • Toimi

  • Vaikutusalue

  • Riskien ymmärtäminen

  • Tunnetut ongelmat

• Tämän julkaisun ohjeet

• Lievennyksen käyttöönoton ohjeet

• Käynnistystietoväline

• Windowsin asennustietovälineen päivittäminen

• Päivitysten ajoitus

• Windowsin tapahtumalokivirheet, jotka liittyvät CVE-2023-24932:een

• Usein kysytyt kysymykset (usein kysytyt kysymykset)

• Käynnistysongelmien vianmääritys

• Palautusmenettely

• Lisätietoja

• Muuta lokia

Yhteenveto

Tässä artikkelissa kuvataan suojaus julkistetun suojatun käynnistyksen suojausominaisuuden ohitusta vastaan, joka käyttää CVE-2023-24932:n jäljittämää BlackLotus UEFI -käynnistyspakettia, miten lievennykset otetaan käyttöön, ja ohjeita käynnistystietovälineisiin. Bootkit on haittaohjelma, joka on suunniteltu lataamaan mahdollisimman aikaisin laitteiden käynnistysjärjestyksessä käyttöjärjestelmän käynnistyksen hallitsemiseksi.

Microsoft suosittelee suojattua käynnistystä turvallisen ja luotetun polun luottamiseen Unified Extensible Firmware Interface (UEFI) -liittymästä Windows-ytimen luotetun käynnistyssarjan kautta. Suojattu käynnistys auttaa estämään käynnistysohjelman haittaohjelmia käynnistysjärjestyksessä. Jos poistat suojatun käynnistyksen käytöstä, laite on vaarassa saada bootkit-haittaohjelman tartunnan. CVE-2023-24932 -päivityksessä kuvatun suojatun käynnistyksen ohituksen korjaaminen edellyttää käynnistyspäälliköiden peruuttamista. Tämä voi aiheuttaa ongelmia joissakin laitteen käynnistysmäärityksissä.

CVE-2023-24932:ssa yksityiskohtaiset suojatun käynnistyksen ohitussuojauksen lievennykset sisältyvät Windowsin suojauspäivityksiin, jotka julkaistiin 9. heinäkuuta 2024 tai sen jälkeen. Nämä lievennykset eivät kuitenkaan ole oletusarvoisesti käytössä. Näiden päivitysten avulla suosittelemme, että alat arvioida näitä muutoksia ympäristössäsi. Täydellinen aikataulu on kuvattu Päivitysten ajoitus - osassa.

Ennen kuin otat nämä lievennykset käyttöön, tarkista tämän artikkelin tiedot perusteellisesti ja määritä, onko sinun otettava lievennykset käyttöön vai odotettava Microsoftin tulevaa päivitystä. Jos otat lievennykset käyttöön, sinun on varmistettava, että laitteesi ovat päivitettyjä ja valmiita, ja ymmärrettävä tässä artikkelissa kuvatut riskit. 

Tämän julkaisun ohjeet

Noudata tässä versiossa näitä kahta vaihetta.

Vaihe 1: Asenna Windowsin suojauspäivitys

Asenna 9. heinäkuuta 2024 tai sen jälkeen julkaistu Windowsin kuukausittainen suojauspäivitys tuettuihin Windows-laitteisiin. Nämä päivitykset sisältävät CVE-2023-24932:n lievennyksiä, mutta ne eivät ole oletusarvoisesti käytössä. Kaikkien Windows-laitteiden on suoritettava tämä vaihe riippumatta siitä, aiotko ottaa lievennykset käyttöön.

Vaihe 2: Muutosten

arvioiminen Suosittelemme, että toimit seuraavasti:

• Tutustu kahteen ensimmäiseen lievennykseen, jotka sallivat suojatun käynnistyksen DB:n päivittämisen ja käynnistyksen hallinnan päivittämisen.

• Tarkista päivitetty aikataulu.

• Aloita kahden ensimmäisen lievennysympäristösi edustavien laitteiden testaaminen.

• Aloita käyttöönoton suunnittelu.

Vaihe 3: Muutosten pakottaminen

Kehotamme sinua ymmärtämään riskit, jotka on kutsuttu Riskien ymmärtäminen -osiossa.

• Tutustu palautuksen ja muiden käynnistystietovälineiden vaikutuksiin.

• Aloita kolmannen lievennyksen testaaminen, joka ei luota kaikkien aiempien Windows-käynnistysten valvojien allekirjoitusvarmenteeseen.

Lievennyksen käyttöönoton ohjeet

Asenna 9. heinäkuuta 2024 tai sen jälkeen julkaistu Windowsin kuukausittainen ylläpitopäivitys tuettuihin Windows-laitteisiin ennen näiden ohjeiden noudattamista. Tämä päivitys sisältää CVE-2023-24932-lievennyksiä, mutta ne eivät ole oletusarvoisesti käytössä. Kaikkien Windows-laitteiden tulee suorittaa tämä vaihe riippumatta suunnitelmastasi, jotta lievennykset voidaan ottaa käyttöön.

Ota päivitys käyttöön ja ota peruutukset käyttöön seuraavasti:

1. Asenna päivitetyt varmennemääritykset DB:hen.

   Tämä vaihe lisää "Windows UEFI CA 2023" -varmenteen UEFI "Secure Boot Signature Database" (DB) -tietokantaan. Lisäämällä tämän varmenteen DB:hen laitteen laiteohjelmisto luottaa tämän varmenteen allekirjoittamiin käynnistyssovelluksiin.

   1. Avaa Järjestelmänvalvoja-komentokehote ja määritä rekisteriavain suorittamaan DB-päivitys kirjoittamalla seuraava komento:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      TÄRKEÄ Varmista, että laite käynnistetään uudelleen kaksi kertaa päivityksen asennuksen viimeistelemiseksi, ennen kuin siirryt vaiheisiin 2 ja 3.

   2. Suorita seuraava PowerShell-komento järjestelmänvalvojana ja varmista, että DB on päivitetty onnistuneesti. Tämän komennon pitäisi palauttaa arvo Tosi.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Päivitä laitteesi käynnistyksen hallinta.

   Tämä vaihe asentaa laitteeseesi käynnistyksen hallintasovelluksen, joka on allekirjoitettu Windows UEFI CA 2023 -varmenteella.

   1. Avaa Järjestelmänvalvoja-komentokehote ja määritä rekisteriavain asentamaan "'Windows UEFI CA 2023" allekirjoitettu käynnistyksen hallinta:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Käynnistä laite uudelleen kaksi kertaa.

   3. Järjestelmänvalvojana ota EFI-osio käyttöön ja valmistele se tarkastusta varten:

      mountvol s: /s

   4. Tarkista, että "s:\efi\microsoft\boot\bootmgfw.efi" -tiedosto on allekirjoitettu Windows UEFI CA 2023 -varmenteella. Voit tehdä tämän seuraavasti:

      1. Valitse Käynnistä, kirjoita hakuruutuun komentokehote ja valitse sitten Komentokehote.

      2. Kirjoita Komentokehote-ikkunaan seuraava komento ja paina sitten Enter-näppäintä:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Napsauta Tiedostonhallinnassa hiiren kakkospainikkeella tiedostoa C:\bootmgfw_2023.efi, valitse Ominaisuudet ja valitse sitten Digitaaliset allekirjoitukset -välilehti.

      4. Vahvista Allekirjoitus-luettelossa, että varmenneketju sisältää Windows UEFI CA 2023:n. Varmenneketjun pitäisi vastata seuraavaa näyttökuvaa:
         
         

3. Ota kumous käyttöön.

   UEFI Forbidden List (DBX) -luetteloa käytetään estämään ei-luotettujen UEFI-moduulien lataaminen. Tässä vaiheessa DBX:n päivittäminen lisää "Windows Production CA 2011" -varmenteen DBX:een. Tämä aiheuttaa sen, että kaikkia tämän varmenteen allekirjoittamia käynnistyspäälliköitä ei enää luoteta.

   VAROITUS: Ennen kuin otat käyttöön kolmannen lievennyksen, luo palautus flash-asema, jota voidaan käyttää järjestelmän käynnistämiseen. Lisätietoja tästä on Ohjeaiheessa Windowsin asennustietovälineen päivittäminen.

   Jos järjestelmäsi on käynnistymättömässä tilassa, palauta laite peruuttamista edeltävään tilaan noudattamalla palautustoimintosarjan osion ohjeita.

   1. Lisää Windows Production PCA 2011 -varmenne suojatun käynnistyksen UEFI-kiellettyjen luetteloon (DBX). Voit tehdä tämän avaamalla komentokehoteikkunan järjestelmänvalvojana, kirjoittamalla seuraavan komennon ja painamalla sitten Enter-näppäintä:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Käynnistä laite uudelleen kaksi kertaa ja varmista, että se on täysin käynnistynyt uudelleen.

   3. Tarkista, että asennus- ja peruutusluettelo on otettu käyttöön, etsimällä tapahtumalokista tapahtuma 1037.
      
      Lisätietoja tapahtumasta 1037 on artikkelissa KB5016061: Suojatun käynnistyksen DB- ja DBX-muuttujapäivitystapahtumat. Voit myös suorittaa seuraavan PowerShell-komennon järjestelmänvalvojana ja varmistaa, että se palauttaa arvon Tosi:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Ota SVN-päivitys käyttöön laiteohjelmistossa.
   
   Vaiheessa 2 käyttöön otetun käynnistyksen hallinta sisältää uuden itseisännöinnin valmiina ominaisuutena. Kun käynnistyksen hallinta käynnistyy, se suorittaa itsetarkistuksen vertaamalla laiteohjelmistoon tallennettua suojattua versionumeroa (SVN) käynnistyksen hallintaan sisältyvään SVN:iin. Jos käynnistyksen hallinnan SVN on pienempi kuin laiteohjelmistoon tallennettu SVN, käynnistyksen hallinta ei suostu suorittamaan sitä. Tämä ominaisuus estää hyökkääjää peruuttamasta käynnistyksen hallintaa vanhaan, päivittämattomaan versioon.
   
   Tulevissa päivityksissä, kun merkittävä tietoturvaongelma on korjattu käynnistyksen hallinnassa, SVN-numero kasvaa sekä käynnistyksen hallinnassa että laiteohjelmiston päivityksessä. Molemmat päivitykset julkaistaan samassa kumulatiivisessa päivityksessä sen varmistamiseksi, että korjatut laitteet on suojattu. Aina kun SVN päivitetään, kaikki käynnistettävät tietovälineet on päivitettävä.
   
   9. heinäkuuta 2024 alkaen SVN:ää lisätään käynnistyksen hallinnassa ja laiteohjelmiston päivityksessä. Laiteohjelmistopäivitys on valinnainen, ja sitä voi käyttää seuraavasti:

   1. Avaa Järjestelmänvalvoja-komentokehote ja asenna "'Windows UEFI CA 2023" allekirjoitettu käynnistyksen hallinta suorittamalla seuraava komento:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Käynnistä laite uudelleen kaksi kertaa.

Käynnistystietoväline

Käynnistystietovälineen päivittäminen on tärkeää, kun käyttöönottovaihe alkaa ympäristössäsi.

Ohjeita käynnistystietovälineen päivittämiseen on tulossa tämän artikkelin tulevissa päivityksissä. Seuraavassa osassa voit luoda USB-muistitikun laitteen palauttamista varten.

Windowsin asennustietovälineen päivittäminen

Voit käyttää Luo palautusasema -sovellusta seuraavasti. Tämän tietovälineen avulla voit asentaa laitteen uudelleen siltä varalta, että ilmenee suuri ongelma, kuten laitteistovirhe, voit käyttää palautusasemaa Windowsin uudelleenasentamiseen.

1. Siirry laitteeseen, jossa on otettu käyttöön 9. heinäkuuta 2024 julkaistut päivitykset ja ensimmäinen lievennysvaihe (suojatun käynnistyksen DB:n päivittäminen).

2. Etsi käynnistä-valikosta Ohjauspaneelin Luo palautusasema -sovelmalla ja luo palautusasema noudattamalla ohjeita.

3. Kun juuri luotu muistitikku on otettu käyttöön (esimerkiksi asemalla "D:"), suorita seuraavat komennot järjestelmänvalvojana. Kirjoita kukin seuraavista komennoista ja paina sitten Enter-näppäintä:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jos hallitset asennettavia tietovälineitä ympäristössäsi käyttämällä Windowsin päivitystietovälinettä dynaamisen päivityksen ohjeiden avulla , toimi seuraavasti. Nämä lisävaiheet luovat käynnistysaseman, joka käyttää Windows UEFI CA 2023 -allekirjoitusvarmenteen allekirjoittamia käynnistystiedostoja.

1. Siirry laitteeseen, jossa on otettu käyttöön 9. heinäkuuta 2024 päivitykset ja ensimmäinen lievennysvaihe (suojatun käynnistyksen DB:n päivittäminen).

2. Luo mediasisältö 9. heinäkuuta 2024 julkaistujen päivitysten avulla noudattamalla alla olevan linkin ohjeita. Windowsin asennustietovälineen päivittäminen dynaamisella päivityksellä

3. Aseta tietovälineen sisältö USB-muistitikulle ja asenna muistitikku asemakirjainna. Ota esimerkiksi muistitikku käyttöön muodossa "D:".

4. Suorita seuraavat komennot komentoikkunasta järjestelmänvalvojana. Kirjoita kukin seuraavista komennoista ja paina sitten Enter-näppäintä.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jos laitteen suojatun käynnistyksen asetukset palautetaan oletusarvoon lievennysten käyttöönoton jälkeen, laite ei käynnisty. Ongelman ratkaisemiseksi 9. heinäkuuta 2024 julkaistuihin päivityksiin sisältyy korjaussovellus, jonka avulla voidaan ottaa uudelleen käyttöön Windows UEFI CA 2023 -varmenne DB:hen (lievennys #1).

1. Siirry laitteeseen, jossa on otettu käyttöön 9. heinäkuuta 2024 julkaistut päivitykset.

2. Kopioi palautussovellus komentoikkunassa muistitikkuun seuraavien komentojen avulla (olettaen, että muistitikku on D:-asema). Kirjoita kukin komento erikseen ja paina sitten Enter-näppäintä:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Aseta muistitikku oletusasetuksiin laitteessa, jossa suojatun käynnistyksen asetukset on palautettu oletusasetuksiin, käynnistä laite uudelleen ja käynnistä se muistitikusta.

Päivitysten ajoitus

Päivitykset julkaistaan seuraavasti:

• Ensimmäinen käyttöönotto Tämä vaihe alkoi 9.5.2023 julkaistuilla päivityksillä, ja se tarjosi perusvähennyksiä manuaalisin vaihein näiden lievennysten mahdollistamiseksi.

• Toinen käyttöönotto Tämä vaihe alkoi 11. heinäkuuta 2023 julkaistuilla päivityksillä, jotka lisäsivät yksinkertaistettuja vaiheita ongelman lieventämiseksi.

• Arviointivaihe Tämä vaihe alkaa 9. huhtikuuta 2024 ja lisää käynnistyksen hallinnan lievennyksiä.

• Käyttöönottovaihe Tässä yhteydessä kannustamme kaikkia asiakkaita aloittamaan lievennysten käyttöönoton ja mediatietojen päivittämisen.

• Pakotusvaihe Täytäntöönpanovaihe, joka tekee lievennyksistä pysyviä. Tämän vaiheen päivämäärä ilmoitetaan myöhemmin.

Huomautus Julkaisuaikataulua voidaan tarvittaessa muuttaa.

Windowsin tapahtumalokivirheet, jotka liittyvät CVE-2023-24932:een

DB: n ja DBX: n päivittämiseen liittyvät Windowsin tapahtumalokimerkinnät on kuvattu yksityiskohtaisesti KB5016061 : Suojatun käynnistyksen DB- ja DBX-muuttujapäivitystapahtumat.

Lievennysten soveltamiseen liittyvät onnistumistapahtumat on lueteltu seuraavassa taulukossa.

Usein kysytyt kysymykset (usein kysytyt kysymykset)

Käynnistysongelmien vianmääritys

Kun kaikki kolme lievennystä on otettu käyttöön, laitteen laiteohjelmisto ei käynnisty Windows Production PCA 2011:n allekirjoittamalla käynnistyshallinnalla. Laiteohjelmiston ilmoittamat käynnistysvirheet ovat laitekohtaisia. Katso Palautusmenettely-osio .

Palautusmenettely

Jos jokin menee vikaan lievennysten käyttöönoton aikana etkä pysty käynnistämään laitetta tai sinun on aloitettava ulkoisesta tietovälineestä (kuten muistitikusta tai PXE-käynnistys), kokeile seuraavia ehdotuksia:

1. Poista suojattu käynnistys käytöstä.
   
   Tämä toimenpide eroaa laitevalmistajien ja -mallien välillä. Kirjoita laitteisiisi UEFI BIOS -valikko, siirry Suojatun käynnistyksen asetuksiin ja poista se käytöstä. Lisätietoja tästä prosessista on laitteen valmistajan ohjeissa. Lisätietoja on artikkelissa Suojatun käynnistyksen poistaminen käytöstä.

2. Palauta suojatun käynnistyksen näppäimet tehdasasetuksiin.

   Jos laite tukee suojattujen käynnistysnäppäinten oletusasetusten palauttamista, suorita tämä toiminto nyt.

   MUISTIINPANO Joillakin laitevalmistajilla on sekä "Tyhjennä" että "Palauta" -vaihtoehto suojatun käynnistyksen muuttujille, jolloin "Palauta" on käytettävä. Tavoitteena on palauttaa suojatun käynnistyksen muuttujat valmistajien oletusarvoihin.

   Laitteesi pitäisi käynnistyä nyt, mutta huomaa, että se on altis käynnistysohjelman haittaohjelmille. Varmista, että suoritat tämän palautusprosessin vaiheen 5 ottaaksesi suojatun käynnistyksen uudelleen käyttöön.

3. Yritä käynnistää Windows järjestelmälevyltä.

   1. Kirjaudu Sisään Windowsiin.

   2. Suorita seuraavat komennot järjestelmänvalvojan komentokehotteesta, jotta voit palauttaa käynnistystiedostot EFI-järjestelmän käynnistysosiossa. Kirjoita kukin komento erikseen ja paina sitten Enter-näppäintä:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBoot-komennon suorittaminen palauttaa "Käynnistystiedostojen luominen onnistui". Kun tämä viesti on näkyvissä, käynnistä laite uudelleen Windowsiin.

4. Jos vaihe 3 ei palauta laitetta onnistuneesti, asenna Windows uudelleen.

   1. Käynnistä laite olemassa olevasta palautustietovälineestä.

   2. Jatka Windowsin asentamista palautustietovälineen avulla.

   3. Kirjaudu Sisään Windowsiin.

   4. Käynnistä Windows uudelleen varmistaaksesi, että laite käynnistyy takaisin Windowsiin.

5. Ota suojattu käynnistys uudelleen käyttöön ja käynnistä laite uudelleen.
   
   Kirjoita laitteen UEFI-valikko, siirry suojatun käynnistyksen asetuksiin ja ota se käyttöön. Lisätietoja tästä prosessista on laitteen valmistajan ohjeissa. Lisätietoja on Ota suojattu käynnistys uudelleen käyttöön -osassa.

Lisätietoja

• Ohjeita hyökkäysten tutkimiseen CVE-2022-21894: BlackLotus-kampanja

• Suojattu käynnistys

• Suojatun käynnistyksen ottaminen käyttöön rekisteröidyissä Windows-laitteissa

• Tietoja tapahtumista, jotka luodaan DBX-päivitysten käyttöönoton yhteydessä, on artikkelissa KB5016061: Heikossa asemassa olevien ja kumottujen käynnistyspäälliköiden korjaaminen.