IMPORTANTEèconsigliabileapplicarel'aggiornamentodellasicurezzadiWindowsrilasciatodopoil9luglio2024inclusonelnormaleprocessodiaggiornamentomensile.
QuestoarticolosiapplicaalleorganizzazionichedevonoiniziareavalutarelemisurediprevenzioneperunbypassdiavvioprotettopubblicamentedivulgatosfruttatodalbootkitUEFIBlackLotus.Inoltre,èconsigliabileadottareunapproccioproattivoallasicurezzaoiniziareaprepararsiperl'implementazione.Tienipresentechequestomalwarerichiedel'accessofisicooamministrativoaldispositivo.
CAUTELAUnavoltaabilitatalaprevenzioneperquestoproblemainundispositivo,ovverodopol'applicazionedellemisurediprevenzione,nonèpossibileripristinarlasecontinuiausarel'avvioprotettosutaledispositivo.Anchelariformattazionedeldiscononrimuoveràlerevochesesonogiàstateapplicate.Sipregadiessereconsapevolidituttelepossibiliimplicazionietestareattentamenteprimadiapplicarelerevochedescritteinquestoarticoloaldispositivo.
Primadiabilitarequestemisurediprevenzione,èconsigliabileesaminareattentamenteidettagliinquestoarticoloedeterminareseènecessarioabilitarelemisurediprevenzioneoattendereunaggiornamentofuturodaMicrosoft.Sesceglidiabilitarelemisurediprevenzione,deviverificarecheidispositivisianoaggiornatieprontiecomprendereirischidescrittiinquestoarticolo.
Perquestaversione,ènecessarioseguireipassaggiseguenti:
Rischiodimalware:Perrenderepossibilel'exploitdibootkitUEFIBlackLotusdescrittoinquestoarticolo,unutentemalintenzionatodeveacquisireprivilegiamministrativisuundispositivooottenerel'accessofisicoaldispositivo.Questaoperazionepuòessereeseguitaaccedendoaldispositivofisicamenteoinremoto,adesempiousandounhypervisorperaccedereallemacchinevirtuali/cloud.Unutentemalintenzionatouseràingenerequestavulnerabilitàpercontinuareacontrollareundispositivoacuipuògiàaccedereedeventualmentemanipolare.Lemisurediprevenzioneinquestoarticolosonopreventiveenoncorrettive.Seildispositivoègiàcompromesso,contattailproviderdisicurezzaperassistenza.
Supportidiripristino:Sesiverificaunproblemaconildispositivodopol'applicazionedellemisurediprevenzioneeildispositivodiventanonavviabile,potrestinonessereingradodiavviareoripristinareildispositivodasupportiesistenti.Ilsupportodiripristinooinstallazionedovràessereaggiornatoinmodochefunzioniconundispositivoconlemisurediprevenzioneapplicate.
Problemidelfirmware:QuandoWindowsapplicalemisurediprevenzionedescritteinquestoarticolo,ènecessariochesibasisulfirmwareUEFIdeldispositivoperaggiornareivaloridiavvioprotetto(gliaggiornamentivengonoapplicatiallachiavedidatabase(DB)eallachiavedifirmaproibita(DBX).Inalcunicasi,abbiamoesperienzaconidispositivichenonriesconogliaggiornamenti.Stiamocollaborandoconiproduttorididispositivipertestarequestiaggiornamentichiaveinquantipiùdispositivipossibile.
NOTATestainnanzituttoquestemisurediprevenzionesuunsingolodispositivoperclassedidispositivoneltuoambienteperrilevareipossibiliproblemidelfirmware.Nondistribuiresuvastascalaprimadiconfermarechetutteleclassididispositivinell'ambientesianostatevalutate.
Probleminotidelfirmware:
NOTAIprobleminotiseguentinonhannoalcunimpattoenonimpedirannol'installazionedegliaggiornamentidel9luglio2024.Nellamaggiorpartedeicasi,lemisurediprevenzionenonverrannoapplicatequandoesistonoprobleminoti.Vedereidettaglievidenziatiinogniproblemanoto.
Perquestaversione,seguirequestiduepassaggi.
Passaggio2:Valutarelemodificheèconsigliabileeseguireleoperazioniseguenti:
Passaggio3:Applicarelemodifiche
NOTASeusiBitLocker,assicuratichesiastatoeseguitoilbackupdellachiavediripristinodiBitLocker.èpossibileeseguireilcomandoseguentedaunpromptdeicomandidell'amministratoreeprenderenotadellapasswordnumericadi48cifre:
manage-bde-protectors-get%systemdrive%
Perdistribuirel'aggiornamentoeapplicarelerevoche,seguirequestaprocedura:
Saràimportanteaggiornareilsupportodiavviodopol'iniziodellafasedidistribuzionenell'ambiente.
Lelineeguidaperl'aggiornamentodeisupportidiavviosarannodisponibilicongliaggiornamentifuturidiquestoarticolo.VedilasezionesuccessivapercreareunachiavettaUSBperilripristinodiundispositivo.
NOTAQuandocreiunachiavettaUSBavviabile,assicuratidiformattarel'unitàutilizzandoilfilesystemFAT32.
Sedopol'applicazionedellemisurediprevenzione,undispositivohaleimpostazionidiavvioprotettoripristinatealleimpostazionipredefinite,ildispositivononverràavviato.Perrisolverequestoproblema,èinclusaun'applicazionediripristinocongliaggiornamentidel9luglio2024chepossonoessereusatiperriapplicareilcertificato"WINDOWSUEFICA2023"alDATABASE(prevenzionen.1).
Gliaggiornamentivengonorilasciatinelmodoseguente:
NotaLapianificazionedeirilascipotrebbeesseremodificatainbasealleesigenze.
QuestafaseèstatasuperatadagliaggiornamentidellasicurezzadiWindowsrilasciatidopoil9aprile2024incluso.
Inquestafase,tichiediamoditestarequestemodificheneltuoambienteperassicurartichelemodifichefunzioninocorrettamentecondispositividiesempiorappresentativieperottenereesperienzaconlemodifiche.
NOTAInvecedicercaredielencareinmodoesaustivoenonattendibiliiresponsabilidiavviovulnerabilicomenellefasididistribuzioneprecedenti,stiamoaggiungendoilcertificatodifirma"WindowsProductionPCA2011"all'elencodidisallowdell'avvioprotetto(DBX)perrenderenonattendibilituttiiresponsabilidiavviofirmatidaquestocertificato.Sitrattadiunmetodopiùaffidabilepergarantirechetuttiiprecedentiresponsabilidiavviononsianoattendibili.
GliaggiornamentiperWindowsrilasciatidopoil9aprile2024incluso,aggiungerequantosegue:
Questafaseèquellaincuiincoraggiamoiclientiainiziareadistribuirelemisurediprevenzioneeagestireeventualiaggiornamentimultimediali.Gliaggiornamentiincludonolemodificheseguenti:
Diseguitoèriportataunastrutturadeipassaggiperladistribuzioneinun'organizzazione.
NotaAltreindicazioniperl'aggiornamentofuturodiquestoarticolo.
Lafasediapplicazionesaràdialmenoseimesidopolafasedidistribuzione.Quandovengonorilasciatigliaggiornamentiperlafasediapplicazione,includonoquantosegue:
Glieventi"riusciti"relativiall'applicazionedellemisurediprevenzionesonoelencatinellatabellaseguente.
Passaggiodimitigazione
IDevento
Note
Applicazionedell'aggiornamentoDB
1036
IlcertificatoPCA2023èstatoaggiuntoaldatabase.
AggiornamentodiBootManager
1799
èstatoapplicatoilPCA2023bootmanagerfirmato.
Applicazionedell'aggiornamentoDBX
1037
èstatoapplicatol'aggiornamentoDBXchenonèattendibileperilcertificatodifirmaPCA2011.
Sesiverificanoproblemidurantel'applicazionedellemisurediprevenzioneenonriesciadavviareildispositivoodeviavviareildispositivodaunsupportoesterno(adesempiounachiavettaUSBounavvioPXE),provaisuggerimentiseguenti:
IprodottiditerzeparticitatiinquestoarticolosonoprodottidasocietàindipendentidiMicrosoft.Microsoftnonriconoscealcunagaranzia,implicitaoespressa,inrelazionealleprestazionioall'affidabilitàdiquestiprodotti.
Microsoftfornisceinformazionidicontattoditerzepartiperaiutarel'utenteatrovaresupportotecnico.Leinformazionidicontattosonosoggetteamodificasenzapreavviso.Microsoftnongarantiscel'accuratezzadiquesteinformazionidicontattoditerzeparti.
Datadimodifica
Descrizionedellamodifica
9luglio2024
9aprile2024
16dicembre2023
15maggio2023
11maggio2023
10maggio2023
9maggio2023
27giugno2023
11luglio2023
25agosto2023
Lecommunityaiutanoaporreearisponderealledomande,afornirefeedbackeadascoltaregliesperticonapprofonditeconoscenze.