MS e OEM hanno risolto i principali problemi di Secure Boot durante l'AMA Office Hours

L'evento OEM Secure Boot Office Hours ospitato da MS il 15 luglio ha riunito ingegneri di MS e rappresentanti di Acer, Asus, Cisco, Clevo, Dell, Fujitsu, Honor, HP, Lenovo, LG, Surface e Xiaomi. La sessione AMA di 12 ore sul forum Tech Community ha permesso agli amministratori IT di porre domande in tempo reale sugli aggiornamenti dei certificati di Secure Boot.

Al termine della sessione, il thread è diventato uno dei più completi record tecnici relativi al rollout di Secure Boot 2023, iniziato oltre tre settimane dopo la scadenza dei primi certificati all'inizio di luglio.

Punti salienti

Gli ingegneri di MS, tra cui Prabhakar_MSFT e Jason_Sandys, insieme a esperti OEM di HP e Dell, hanno risposto a numerose domande specifiche sull'hardware e fornito soluzioni pratiche. Tuttavia, la sessione ha anche rivelato frustrazioni tra gli amministratori IT riguardo a problemi ricorrenti come i loop di recupero di BitLocker, l'insuccesso delle policy Intune senza codici di errore dettagliati e i rating di affidabilità bloccati.

Chiarimenti sul processo di aggiornamento di Secure Boot

• I dispositivi che sono stati offline per lunghi periodi elaboreranno comunque gli aggiornamenti di Secure Boot al momento della riconnessione a Windows Update. Qualsiasi dispositivo con certificati del 2011 verrà automaticamente aggiornato alla catena del 2023.
• Per i dispositivi che già dispongono di certificati del 2023 ma che continuano a utilizzare la catena del 2011, MS ha chiarito che il boot manager passerà alla versione firmata del 2023 dopo l'applicazione delle ultime patch di Windows.
• I dispositivi bloccati sul boot manager del 2011 nonostante il completo aggiornamento indicano probabilmente aggiornamenti incompleti. MS ha condiviso uno script PowerShell, Detect-SecureBootCertUpdateStatus.ps1, per diagnosticare il problema analizzando il registro locale e i log degli eventi.

Script per monitorare il rollout di Secure Boot

MS ha introdotto due script PowerShell per gli amministratori IT che gestiscono gli aggiornamenti di Secure Boot:

1. Detect-SecureBootCertUpdateStatus.ps1: Utile per diagnosticare lo stato dei certificati di Secure Boot su dispositivi individuali.
2. Get-SecureBootRolloutStatus.ps1: Progettato per monitorare i progressi del rollout nelle flotte aziendali. Nota: questo script richiede un processo di rollout attivo per funzionare correttamente.

Gli amministratori sono stati invitati a fare riferimento alla Guida di automazione E2E di Secure Boot di MS per distribuire certificati su ambienti su larga scala utilizzando oggetti Criteri di gruppo (GPO), condivisioni di file di rete e orchestratori.

Comprendere i rating di affidabilità

Diversi partecipanti hanno sollevato preoccupazioni sui rating di affidabilità fluttuanti nei registri dei dispositivi:

• I rating di affidabilità sono legati alle versioni del firmware piuttosto che all'hardware stesso. Quando un BIOS viene aggiornato, il dispositivo può essere assegnato a un nuovo "bucket" per il quale potrebbero non esistere ancora dati sufficienti, causando il temporaneo apparire di un rating non classificato.
• Se i certificati di Secure Boot sono aggiornati, eventuali problemi con i rating di affidabilità possono generalmente essere ignorati.
• Lo script Detect-SecureBootCertUpdateStatus.ps1 può fornire una verifica aggiuntiva oltre alle letture del registro.

Sfide con Intune e recupero di BitLocker

Gli amministratori che gestiscono grandi flotte di dispositivi hanno segnalato problemi con le configurazioni di Intune e attivazioni inaspettate del recupero di BitLocker:

• Il recupero di BitLocker non dovrebbe essere attivato dagli aggiornamenti dei certificati di Secure Boot. Quando si verificano tali problemi, sono generalmente causati da configurazioni PCR personalizzate o problemi specifici del firmware dell'hardware.
• MS ha sottolineato l'importanza di testare hardware rappresentativi prima di un rollout diffuso e di garantire che le chiavi di recupero di BitLocker siano salvate e accessibili.
• Per i fallimenti di Intune che mostrano codici di errore generici, MS ha raccomandato di fornire log dettagliati per ulteriore assistenza.

Aggiornamenti del firmware e dispositivi legacy

Le domande sugli aggiornamenti del firmware per hardware più vecchio hanno generato una discussione significativa:

• Dell e HP hanno confermato che rimanere su firmware obsoleti, anche con certificati aggiornati, lascia i dispositivi vulnerabili ad altri rischi di sicurezza. Gli aggiornamenti dovrebbero affrontare sia i certificati sia le patch di sicurezza a livello firmware.
• I modelli più recenti di HP, come i G6 e G11, hanno aggiornamenti del firmware disponibili per i certificati del 2023. I modelli più vecchi come i G5, che hanno raggiunto la fine del ciclo di servizio, richiedono un pacchetto di aggiornamento manuale disponibile tramite il supporto HP.

Scadenza per la transizione ai certificati di Secure Boot

La sessione ha sottolineato l'urgenza di passare ai certificati di Secure Boot del 2023 prima delle scadenze imminenti:

• I certificati MS Corporation KEK CA 2011 e MS UEFI CA 2011 sono già scaduti.
• Il certificato MS Windows Production PCA 2011 scadrà il 19 ottobre 2026, dando agli amministratori IT un tempo limitato per aggiornare i loro dispositivi.

Prossimi passi per gli amministratori IT

Gli amministratori che gestiscono flotte di dispositivi dovrebbero dare priorità alle seguenti azioni:

1. Utilizzare gli script PowerShell disponibili per verificare lo stato dei certificati di Secure Boot su singoli dispositivi o flotte.
2. Assicurarsi che gli aggiornamenti del firmware siano applicati dove necessario per affrontare rischi di sicurezza più ampi.
3. Fare riferimento alle guide di distribuzione per rollout basati su GPO o Intune per evitare configurazioni errate.
4. Eseguire il backup e proteggere le chiavi di recupero di BitLocker prima di avviare gli aggiornamenti.

Conclusione

L'AMA Secure Boot Office Hours ha fornito informazioni e soluzioni preziose per gli amministratori IT alle prese con il rollout dei certificati del 2023. Sebbene persistano sfide come i loop di recupero di BitLocker e i fallimenti di Intune, MS e gli OEM hanno compiuto progressi significativi nell'affrontare i problemi critici. Con l'avvicinarsi della scadenza di ottobre per Secure Boot, i responsabili delle flotte devono agire prontamente per garantire conformità e ridurre al minimo le interruzioni.

Per ulteriori indicazioni, fare riferimento alla documentazione ufficiale di MS e alla copertura dettagliata di Windows Latest sugli aggiornamenti di Secure Boot e suggerimenti per la risoluzione dei problemi.