KB5025885: Cum se gestionează revocările Managerului de boot Windows pentru modificările secure boot asociate cu CVE-2023-24932

În acest articol

• Rezumat

  • Acționați

  • Domeniul de aplicare al impactului

  • Înțelegerea riscurilor

  • Probleme cunoscute

• Instrucțiuni pentru această ediție

• Îndrumări pentru implementarea atenuării

• Suport bootabil

• Actualizarea suportului de instalare Windows

• Temporizarea actualizărilor

• Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

• Întrebări frecvente (Întrebări frecvente)

• Depanarea problemelor de boot

• Procedură de recuperare

• Referințe

• Jurnal de modificări

Rezumat

Acest articol descrie protecția împotriva omiterii caracteristicii de securitate Secure Boot dezvăluită public care utilizează bootkitul BlackLotus UEFI urmărit de CVE-2023-24932, cum să activați atenuările și instrucțiuni privind suportul bootabil. Un bootkit este un program rău intenționat care este proiectat să se încarce cât mai curând posibil într-o secvență de bootare a dispozitivelor pentru a controla pornirea sistemului de operare.

Bootarea securizată este recomandată de Microsoft pentru a stabili o cale sigură și de încredere de la Unified Extensible Firmware Interface (UEFI) prin secvența boot de încredere a kernelului Windows. Secure Boot contribuie la prevenirea malware-ului bootkit în secvența de boot. Dezactivarea bootului securizat pune un dispozitiv în pericol de a fi infectat cu malware bootkit. Remedierea bypass-ului secure boot descris în CVE-2023-24932 necesită revocarea managerilor de boot. Acest lucru poate cauza probleme pentru unele configurații de bootare a dispozitivului.

Atenuările împotriva ocolirii secure boot detaliate în CVE-2023-24932 sunt incluse în actualizările de securitate Windows care au fost lansate la sau după 9 iulie 2024. Totuși, aceste atenuări nu sunt activate în mod implicit. Cu aceste actualizări, vă recomandăm să începeți să evaluați aceste modificări în mediul dvs. Planificarea completă este descrisă în secțiunea Temporizarea actualizărilor .

Înainte de a activa aceste atenuări, ar trebui să revizuiți cu atenție detaliile din acest articol și să determinați dacă trebuie să activați atenuările sau să așteptați o actualizare viitoare de la Microsoft. Dacă alegeți să activați atenuările, trebuie să verificați dacă dispozitivele dvs. sunt actualizate și gata și să înțelegeți riscurile descrise în acest articol. 

Instrucțiuni pentru această ediție

Pentru această versiune, urmați acești doi pași.

Pasul 1: Instalați actualizarea

de securitate Windows Instalați actualizarea de securitate lunară Windows lansată pe sau după 9 iulie 2024, pe dispozitivele Windows acceptate. Aceste actualizări includ atenuări pentru CVE-2023-24932, dar nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să parcurgă acest pas, indiferent dacă intenționați sau nu să implementați atenuările.

Pasul 2: Evaluați modificările

Vă încurajăm să procedați astfel:

• Înțelegeți primele două atenuări care permit actualizarea Secure Boot DB și actualizarea managerului de boot.

• Revizuiți planificarea actualizată.

• Începeți testarea primelor două atenuări pe dispozitivele reprezentative din mediul dvs.

• Începeți planificarea implementării.

Pasul 3: Impuneți modificările

Vă încurajăm să înțelegeți riscurile prezentate în secțiunea Înțelegerea riscurilor.

• Înțelegeți impactul asupra recuperării și a altor suporturi bootabile.

• Începeți testarea celei de-a treia atenuări care nu prezintă încredere în certificatul de semnare utilizat pentru toți managerii de boot Windows anteriori.

Îndrumări pentru implementarea atenuării

Înainte de a urma acești pași pentru aplicarea atenuării, instalați actualizarea de servicii lunară Windows lansată pe sau după 9 iulie 2024, pe dispozitivele Windows acceptate. Această actualizare include atenuări pentru CVE-2023-24932, dar acestea nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să parcurgă acest pas indiferent de planul dvs. de activare a atenuării.

Pentru a implementa actualizarea și a aplica revocările, urmați acești pași:

1. Instalați definițiile de certificate actualizate în baza de date.

   Acest pas va adăuga certificatul "Windows UEFI CA 2023" la UEFI "Secure Boot Signature Database" (DB). Prin adăugarea acestui certificat la DB, firmware-ul dispozitivului va avea încredere în aplicațiile de boot semnate de acest certificat.

   1. Deschideți o linie de comandă Administrator și setați cheia de registry pentru a efectua actualizarea la DB, introducând următoarea comandă:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANT Asigurați-vă că reporniți dispozitivul de două ori pentru a finaliza instalarea actualizării înainte de a trece la pașii 2 și 3.

   2. Rulați următoarea comandă PowerShell ca administrator și verificați dacă baza de date a fost actualizată cu succes. Această comandă ar trebui să returneze True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Actualizați Managerul de boot pe dispozitiv.

   Acest pas va instala o aplicație manager de boot pe dispozitivul dvs., care este semnată cu certificatul "Windows UEFI CA 2023".

   1. Deschideți o linie de comandă Administrator și setați cheia regkey pentru a instala managerul de boot semnat "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reporniți dispozitivul de două ori.

   3. Ca administrator, montați partiția EFI pentru a o pregăti pentru inspecție:

      mountvol s: /s

   4. Validați faptul că fișierul "s:\efi\microsoft\boot\bootmgfw.efi" este semnat de certificatul "Windows UEFI CA 2023". Pentru a face acest lucru, urmați acești pași:

      1. Faceți clic pe Start, tastați linie de comandă în caseta Căutare , apoi faceți clic pe Linie de comandă.

      2. În fereastra Linie de comandă , tastați următoarea comandă, apoi apăsați pe Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. În Manager fișiere, faceți clic dreapta pe fișierul C:\bootmgfw_2023.efi, faceți clic pe Proprietăți, apoi selectați fila Semnături digitale .

      4. În lista Semnătură, confirmați că lanțul de certificate include Windows UEFI CA 2023. Lanțul de certificate ar trebui să corespundă următoarei capturi de ecran:
         
         

3. Activați revocarea.

   Lista de permisiuni UEFI (DBX) este utilizată pentru a bloca încărcarea modulelor UEFI care nu sunt de încredere. În acest pas, actualizarea DBX va adăuga certificatul "Windows Production CA 2011" la DBX. Acest lucru va face ca toți managerii de boot semnate de acest certificat să nu mai fie de încredere.

   AVERTISMENT: Înainte de a aplica a treia atenuare, creați o unitate flash de recuperare care poate fi utilizată pentru a boota sistemul. Pentru informații despre cum să faceți acest lucru, consultați secțiunea Actualizarea suportului media de instalare Windows.

   Dacă sistemul intră într-o stare ne bootabilă, urmați pașii din secțiunea Procedură de recuperare pentru a reseta dispozitivul la o stare de pre-revocare.

   1. Adăugați certificatul "Windows Production PCA 2011" la Lista de bootare securizată UEFI interzisă (DBX). Pentru a face acest lucru, deschideți o fereastră linie de comandă ca administrator, tastați următoarea comandă, apoi apăsați pe Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reporniți dispozitivul de două ori și confirmați că a repornit complet.

   3. Verificați dacă lista de instalare și revocare a fost aplicată cu succes căutând evenimentul 1037 în jurnalul de evenimente.
      
      Pentru informații despre evenimentul 1037, consultați KB5016061: Evenimente de actualizare a variabilei Secure Boot DB și DBX. Sau rulați următoarea comandă PowerShell ca Administrator și asigurați-vă că returnează True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) - potrivire "Microsoft Windows Production PCA 2011" 

4. Aplicați actualizarea SVN la firmware.
   
   Managerul de boot implementat în Pasul 2 are încorporată o nouă caracteristică de auto-revocare. Atunci când managerul de boot începe să ruleze, efectuează o auto-verificare prin compararea numărului de versiune securizat (SVN) stocat în firmware, cu SVN încorporat în Managerul de boot. Dacă managerul de boot SVN este mai mic decât SVN stocat în firmware, managerul de boot va refuza să ruleze. Această caracteristică împiedică un atacator să readucerea Managerului de boot la o versiune mai veche, neactualizată.
   
   În viitoarele actualizări, atunci când se remediază o problemă semnificativă de securitate în Managerul de boot, numărul SVN va fi incrementat atât în Managerul de boot, cât și în actualizarea firmware-ului. Ambele actualizări vor fi lansate în aceeași actualizare cumulativă, pentru a vă asigura că dispozitivele cu corecții sunt protejate. De fiecare dată când se actualizează SVN, orice suport bootabil va trebui să fie actualizat.
   
   Începând cu data de 9 iulie 2024, actualizările, SVN este incrementat în Managerul de boot și actualizarea la firmware. Actualizarea de firmware este opțională și poate fi aplicată urmând acești pași:

   1. Deschideți o linie de comandă Administrator și rulați următoarea comandă pentru a instala managerul de boot semnat "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Reporniți dispozitivul de două ori.

Suport bootabil

Va fi important să actualizați suportul bootabil după începerea Fazei de implementare în mediul dvs.

Instrucțiunile pentru actualizarea suporturilor bootabile vor fi livrate cu actualizările viitoare ale acestui articol. Consultați secțiunea următoare pentru a crea o unitate USB pentru recuperarea unui dispozitiv.

Actualizarea suportului de instalare Windows

Puteți utiliza aplicația Creare unitate de recuperare urmând acești pași. Acest suport fizic poate fi utilizat pentru a reinstala un dispozitiv în cazul în care există o problemă majoră, cum ar fi o eroare de hardware, veți putea utiliza unitatea de recuperare pentru a reinstala Windows.

1. Accesați un dispozitiv pe care au fost aplicate actualizările din 9 iulie 2024 și primul pas de atenuare (actualizarea Secure Boot DB).

2. Din meniul Start , căutați applet "Creați o unitate de recuperare" din panoul de control și urmați instrucțiunile pentru a crea o unitate de recuperare.

3. Cu unitatea flash nou creată montată (de exemplu, ca unitate "D:"), rulați următoarele comenzi ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă gestionați suportul fizic instalabil în mediul dvs. utilizând suportul de instalare Actualizare Windows cu instrucțiuni privind actualizarea dinamică , urmați acești pași. Acești pași suplimentari vor crea o unitate flash bootabilă care utilizează fișiere de boot semnate de certificatul de semnare "Windows UEFI CA 2023".

1. Accesați un dispozitiv pe care s-au aplicat 9 iulie 2024, actualizări și primul pas de atenuare (actualizarea Secure Boot DB).

2. Urmați pașii din linkul de mai jos pentru a crea fișiere media cu actualizările din 9 iulie 2024. Actualizarea suportului de instalare Windows cu Actualizare dinamică

3. Plasați conținutul suportului media pe o unitate USB și montați unitatea USB ca literă de unitate. De exemplu, montați unitatea usb ca "D:".

4. Rulați următoarele comenzi dintr-o fereastră de comandă ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă un dispozitiv are setările Secure Boot resetat la valorile implicite după aplicarea atenuării, dispozitivul nu se va boota. Pentru a rezolva această problemă, o aplicație de reparare este inclusă cu actualizările din 9 iulie 2024 care pot fi utilizate pentru a reaplica certificatul "Windows UEFI CA 2023" la DB (atenuare nr. 1).

1. Accesați un dispozitiv pe care au fost aplicate actualizările din 9 iulie 2024.

2. Într-o fereastră de comandă, copiați aplicația de recuperare pe unitatea flash utilizând următoarele comenzi (presupunând că unitatea flash este unitatea "D:"). Tastați fiecare comandă separat, apoi apăsați pe Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Pe dispozitivul care are setările Secure Boot resetați la valorile implicite, introduceți unitatea flash, reporniți dispozitivul și bootați de pe unitatea flash.

Temporizarea actualizărilor

Actualizările sunt lansate după cum urmează:

• Implementare inițială Această fază a început cu actualizările lansate pe 9 mai 2023 și a furnizat atenuări de bază cu pași manuali pentru a activa aceste atenuări.

• A doua implementare Această fază a început cu actualizările lansate pe 11 iulie 2023, care a adăugat pași simplifică pentru a permite atenuările pentru problemă.

• Fază de evaluare Această fază va începe la 9 aprilie 2024 și va adăuga atenuări suplimentare ale managerului de boot.

• Faza de implementare Acest lucru se va întâmpla atunci când îi vom încuraja pe toți clienții să înceapă să implementeze atenuările și să actualizeze conținutul media.

• Faza de impunere Faza de impunere care va face atenuările permanente. Data pentru această etapă va fi anunțată la o dată ulterioară.

Notă Programul de lansare poate fi revizuit după cum este necesar.

Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

Intrările din jurnalul de evenimente Windows legate de actualizarea DB și DBX sunt descrise în detaliu în KB5016061: evenimente de actualizare a variabilei Secure Boot DB și DBX.

Evenimentele "reușite" legate de aplicarea atenuării sunt listate în tabelul următor.

Întrebări frecvente (Întrebări frecvente)

Depanarea problemelor de boot

După ce au fost aplicate toate cele trei atenuări, firmware-ul dispozitivului nu se va boota utilizând un manager de boot semnat de Windows Production PCA 2011. Erorile de boot raportate de firmware sunt specifice dispozitivului. Consultați secțiunea Procedura de recuperare .

Procedură de recuperare

Dacă ceva nu merge bine în timpul aplicării atenuării și nu puteți porni dispozitivul sau trebuie să porniți de pe un suport media extern (cum ar fi o unitate USB sau bootarea PXE), încercați următoarele sugestii:

1. Dezactivați Bootare sigură.
   
   Această procedură diferă între producătorii și modelele de dispozitive. Introduceți meniul UEFI BIOS al dispozitivelor și navigați la setările secure Boot și dezactivați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe detalii pot fi găsite în Dezactivarea Boot secure.

2. Resetați cheile Secure Boot la setările implicite din fabrică.

   Dacă dispozitivul acceptă resetarea cheilor de boot securizate la setările implicite din fabrică, efectuați această acțiune acum.

   NOTĂ Unii producători de dispozitive au atât o opțiune "Golire", cât și o opțiune "Resetare" pentru variabilele Secure Boot, caz în care ar trebui utilizată opțiunea "Resetare". Scopul este să readuceți variabilele Secure Boot înapoi la valorile implicite ale producătorilor.

   Dispozitivul dvs. ar trebui să înceapă acum, dar rețineți că este vulnerabil la malware-ul kit de bootare. Asigurați-vă că finalizați Pasul 5 al acestui proces de recuperare pentru a reactiva Bootarea sigură.

3. Încercați să porniți Windows de pe discul de sistem.

   1. Conectați-vă la Windows.

   2. Rulați următoarele comenzi dintr-o linie de comandă Administrator pentru a restaura fișierele de boot în partiția de bootare a sistemului EFI. Tastați fiecare comandă separat, apoi apăsați pe Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Rularea BCDBoot returnează "Bootați fișierele au fost create cu succes". După ce se afișează acest mesaj, reporniți dispozitivul la Windows.

4. Dacă Pasul 3 nu recuperează cu succes dispozitivul, reinstalați Windows.

   1. Porniți dispozitivul de pe suportul de recuperare existent.

   2. Continuați să instalați Windows utilizând suportul de recuperare.

   3. Conectați-vă la Windows.

   4. Reporniți Windows pentru a verifica dacă dispozitivul revine la Windows.

5. Reactivați Bootarea sigură și reporniți dispozitivul.
   
   Introduceți meniul UEFI al dispozitivului și navigați la setările secure Boot și activați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe informații pot fi găsite în secțiunea "Reactivați bootarea sigură".

Referințe

• Instrucțiuni pentru investigarea atacurilor utilizând CVE-2022-21894: campania BlackLotus

• Boot securizat

• Activați bootul securizat pe dispozitivele Windows înscrise

• Pentru evenimentele generate la aplicarea actualizărilor DBX, consultați KB5016061: Abordarea managerilor de boot vulnerabili și revocați.