MS e OEM lottano per risolvere tutti gli errori di Secure Boot

Il 15 luglio, MS ha ospitato un evento OEM Secure Boot Office Hours, riunendo i suoi ingegneri e rappresentanti di importanti OEM come Acer, Asus, Cisco, Clevo, Dell, Fujitsu, Honor, HP, Lenovo, LG, Surface e Xiaomi. L'obiettivo era affrontare le domande in tempo reale degli amministratori IT sulla distribuzione dei certificati di Secure Boot di Windows 11 del 2023.

Windows Latest ha già pubblicato un articolo completo che copre le soluzioni tecniche e i chiarimenti condivisi durante la sessione, incluse discussioni sulla chiave di registro AvailableUpdates e su come vengono applicati i punteggi di fiducia alle flotte aziendali.

Tuttavia, non tutti i problemi sono stati risolti. Una parte significativa delle discussioni durante la sessione si è concentrata sugli errori dei certificati di Secure Boot che né MS né gli OEM sono riusciti a spiegare completamente. Inoltre, alcune soluzioni, che secondo la documentazione ufficiale avrebbero dovuto funzionare, non hanno avuto l'effetto desiderato su diverse configurazioni hardware.

Sfide a livello industriale con i certificati CA-2023

A marzo, Ed Tittel di Windows Latest ha documentato i suoi sforzi per raggiungere la conformità con i certificati CA-2023 per una piccola flotta di 10-15 PC. Le sue scoperte hanno rivelato che i problemi non erano isolati a MS, ma rappresentavano una sfida più ampia per l'intero settore.

• ASUS: Alcune schede madri richiedevano la disabilitazione temporanea del Secure Boot per applicare la lista di revoca.
• MSI: Alcuni modelli ignoravano gli aggiornamenti nonostante mostrassero il Secure Boot come attivo nell'interfaccia utente.
• ASRock: Era necessario ripristinare manualmente le chiavi e rieseguire l'iscrizione su quasi tutti i sistemi, con documentazione limitata o poco chiara disponibile.
• Dell, HP e Lenovo: Sebbene questi marchi abbiano generalmente ottenuto risultati migliori, sono stati comunque riscontrati problemi come distribuzioni scaglionate e aggiornamenti multipli del BIOS che richiedevano ulteriori riavvii.

In un caso particolarmente difficile, il desktop ASRock B550 Extreme4 di Tittel è entrato in uno stato persistente in cui ogni riavvio attivava un falso avviso di cambio CPU a causa dell'aggiornamento di Secure Boot. Nonostante i numerosi tentativi di risolvere il problema tramite regolazioni del firmware, alla fine ha dovuto sostituire la scheda madre.

Problemi irrisolti dall'evento OEM Secure Boot Office Hours

Per gli amministratori IT alle prese con errori dei certificati di Secure Boot, loop di ripristino di BitLocker o aggiornamenti falliti delle chiavi Key Exchange Key (KEK), i dettagli emersi durante l'evento OEM Secure Boot Office Hours potrebbero fornire un po' di chiarezza. Purtroppo, diversi problemi rimangono irrisolti, indicando che persino MS e gli OEM stanno lottando per affrontare tutte le problematiche in modo esaustivo.

Principali sfide evidenziate dagli amministratori IT

• HP EliteBooks e ZBooks: L'amministratore epoch71, che gestisce oltre 7.000 dispositivi, ha riferito che forzare l'installazione del certificato tramite la chiave di registro AvailableUpdates ha innescato loop di ripristino di BitLocker. Seguire le linee guida ufficiali di HP per regolare manualmente le impostazioni del BIOS di Secure Boot ha portato a problemi simili.
• Limitazioni di NVRAM di HP: HP inizialmente ha dichiarato il supporto per dispositivi fabbricati dopo il 2018, ma successivamente ha rimosso alcuni modelli dalla lista di compatibilità a causa di una NVRAM insufficiente per ospitare i nuovi certificati. Questo ha lasciato alcuni amministratori, tra cui l'utente Shapalapa, frustrati per la mancanza di soluzioni efficaci per l'hardware più vecchio.
• Aggiornamenti KEK bloccati: L'utente Checker-KP ha riferito che, sebbene i certificati DB siano stati aggiornati con successo su 700 unità HP EliteBook G9 e G10, il KEK non è riuscito a essere aggiornato ripetutamente, nonostante avesse seguito i passaggi di risoluzione forniti dai rappresentanti HP.
• Dell Optiplex 5000: L'amministratore pbormet ha riscontrato problemi in cui alcune unità si rifiutavano di aggiornare la chiave di registro, e nessun rappresentante Dell ha fornito una soluzione durante la sessione.
• Errori di stato inspiegabili: L'utente salmankhan1 ha descritto dispositivi che mostravano Secure Boot Status = Unknown nonostante soddisfacessero tutti i prerequisiti, inclusi i certificati del 2023, il flag di Secure Boot attivato e un TPM funzionante. MS ha fornito uno script diagnostico ma nessuna soluzione definitiva.

Raccomandazioni per gli amministratori IT

Considerando le continue sfide con la distribuzione dei certificati di Secure Boot, si consiglia agli amministratori IT di esercitare cautela durante l'implementazione degli aggiornamenti. Ecco alcune indicazioni principali:

1. Esegui test pilota: Testa gli aggiornamenti su un piccolo sottoinsieme rappresentativo di hardware prima di implementarli su tutta la flotta.
2. Effettua backup delle chiavi di ripristino: Assicurati sempre che le chiavi di ripristino di BitLocker siano salvate in modo sicuro prima di apportare modifiche alle chiavi di registro o alle impostazioni del BIOS.
3. Consulta le linee guida specifiche dell'OEM: Affidati alle avvertenze specifiche del tuo OEM invece di seguire solo le linee guida generali di MS.
4. Verifica lo stato: Usa script diagnostici come Detect-SecureBootCertUpdateStatus.ps1 per confermare lo stato effettivo dell'aggiornamento dei certificati di un dispositivo prima di presumere un problema.

Considerazioni finali

La distribuzione dei certificati di Secure Boot per Windows 11 si è rivelata una sfida complessa a livello industriale. Sebbene siano state identificate alcune soluzioni, molti problemi rimangono irrisolti, in particolare per dispositivi di produttori come HP e Dell. Gli amministratori IT devono rimanere vigili e proattivi, garantendo test e preparazioni approfonditi prima di implementare aggiornamenti su larga scala.

Per ulteriori indicazioni dettagliate, consulta la guida di Windows Latest su Secure Boot per gli OEM e il loro tutorial passo-passo sulla verifica dello stato di Secure Boot. Se il tuo dispositivo o la tua flotta affrontano problemi persistenti, potrebbe valere la pena investigare se rientrano nei blocchi firmware noti identificati da MS.

Windows Latest continua a dipendere da lettori come te. Rendici la tua fonte preferita su Google Discover e Google Search per aiutare il nostro reportage indipendente a raggiungere un pubblico più ampio.