KB4535680 pour Windows 10 pour corriger la vulnérabilité de démarrage sécurisé UEFI

Si la stratégie de groupe BitLocker Configurer le profil de validation de la plateforme TPM pour les configurations natives du micrologiciel UEFI est activé et PCR7 est sélectionné par stratégie, la clé de récupération BitLocker peut être requise sur certains appareils sur lesquels la liaison PCR7 n’est pas possible.

Pour afficher l’état de liaison de PCR7, exécutez l’outil d’informations système Microsoft (Msinfo32.exe) avec des autorisations administratives.

Important La modification du profil de validation de plateforme par défaut affecte la sécurité et la gérabilité de votre appareil. La sensibilité de BitLocker aux modifications de la plateforme (malveillantes ou autorisées) augmente ou diminue, en fonction de l’inclusion ou de l’exclusion (respectivement) des PCR. Plus précisément, la définition de cette stratégie avec PCR7 omis remplacera le Autoriser le démarrage sécurisé pour la validation de l’intégrité Stratégie de groupe. Cela empêche BitLocker d’utiliser Platform Secure Boot ou la validation de l’intégrité des données de configuration de démarrage (BCD). La définition de cette stratégie peut entraîner la récupération de BitLocker lorsque le micrologiciel est mis à jour. Si vous configurez cette stratégie pour inclure PCR0, vous devez suspendre BitLocker avant d’appliquer les mises à jour du micrologiciel.

Nous vous recommandons de ne pas configurer cette stratégie, mais plutôt de laisser Windows sélectionner le profil PCR pour la meilleure combinaison de sécurité et de convivialité en fonction du matériel disponible sur chaque appareil.

Pour résoudre ce problème, effectuez l’une des opérations suivantes en fonction de votre configuration Credential Guard avant de déployer cette mise à jour :

· Sur un appareil sur lequel Credential Gard n’est pas activé, exécutez la commande suivante à partir de l’invite de commande de l’administrateur pour suspendre BitLocker pendant 1 cycle de redémarrage :

Manage-bde –Protecteurs –Désactiver C: -RebootCount 1

Ensuite, redémarrez l’appareil pour reprendre la protection BitLocker.

Note N’activez pas la protection BitLocker sans redémarrer également l’appareil, car cela entraînerait une récupération BitLocker.

· Sur un appareil sur lequel Credential Guard est activé, plusieurs redémarrages peuvent survenir pendant la mise à jour nécessitant la suspension de BitLocker. Exécutez la commande suivante à partir de l’invite de commande de l’administrateur pour suspendre BitLocker pendant 3 cycles de redémarrage.

Manage-bde –Protecteurs –Désactiver C: -RebootCount 3

Cette mise à jour devrait redémarrer le système deux fois. Redémarrez l’appareil une fois de plus pour reprendre la protection BitLocker.

Note N’activez pas la protection BitLocker sans redémarrer également, car cela entraînerait une récupération BitLocker.