Im C.:\Windows\Boot sind beide Varianten enthalten. Die in den Ordnern mit EX am Ende sind die Dateien mit den neuen Signaturen. Hat man die DBX installiert, funktionieren nur noch die neuen Dateien.
Aber wenn der MCT-Bootstick mit Secure Boot startet, dann dürfte die DBX nicht installiert worden sein. Als ich das bei mir getestet hatte, ließ sich der Stick nicht mehr booten. Aber eventuell hat Microsoft da auch was geändert.
Müsste man mal auf dem Stick die Signatur in den Eigenschaften der Dateien auslesen. Wenn da
"Windows UEFI CA 2023" steht, ist es die neue Signatur. Wenn da noch
"Microsoft Root Certificate Authority 2010" steht. ist es noch die alte Signatur und die wird unbrauchbar, wenn man die DBX installiert hat. Hier müsste man dann manuell den Stick umstellen.
Sehe auch gerade, dass bcdboot einen neuen Schalter bekommen hat:
/bootex : Verwenden Sie die bootex-Binärdateien für die Wartung, wenn die erforderlichen Bedingungen erfüllt sind.
Damit verwendet dann wohl bcdboot automatisch die neuen Dateien aus den EX-Ordnern. Getestet habe ich das aber noch nicht.
Der Artikel wurde auch überarbeitet, da es wohl mit dem Update am 09.07.2024 Änderungen gab.
https://support.microsoft.com/en-us/top ... ff139f832d
Muss ich die Tage wohl mal selber wieder testen. Das sind jetzt wohl Schritte dazugekommen:
----
1. "Windows UEFI CA 2023" installieren (2x booten erforderlich):
Code: Alles auswählen
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f
2. Bootdateien aktualisieren (2x booten erforderlich):
Code: Alles auswählen
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f
3. Sperrliste (DBX) installieren (2x booten erforderlich):
Code: Alles auswählen
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f
4. SVN Update für die Firmware (2x booten erforderlich):
Code: Alles auswählen
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f
Überprüfen dann in der Powershell jeweils mit
Code: Alles auswählen
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Code: Alles auswählen
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'
Den Part mit der DBX würde ich aber derzeit noch auslassen. Das führt nur zu Problemen, da sich dann kein USB-Stick oder ISOs mit Bootdatein starten lassen, welche ein zurückgezogenes Zertifikat verwenden.
Im C.:\Windows\Boot sind beide Varianten enthalten. Die in den Ordnern mit EX am Ende sind die Dateien mit den neuen Signaturen. Hat man die DBX installiert, funktionieren nur noch die neuen Dateien.
Aber wenn der MCT-Bootstick mit Secure Boot startet, dann dürfte die DBX nicht installiert worden sein. Als ich das bei mir getestet hatte, ließ sich der Stick nicht mehr booten. Aber eventuell hat Microsoft da auch was geändert.
Müsste man mal auf dem Stick die Signatur in den Eigenschaften der Dateien auslesen. Wenn da [i]"Windows UEFI CA 2023" [/i]steht, ist es die neue Signatur. Wenn da noch [i]"Microsoft Root Certificate Authority 2010"[/i] steht. ist es noch die alte Signatur und die wird unbrauchbar, wenn man die DBX installiert hat. Hier müsste man dann manuell den Stick umstellen.
Sehe auch gerade, dass bcdboot einen neuen Schalter bekommen hat:
[quote]/bootex : Verwenden Sie die bootex-Binärdateien für die Wartung, wenn die erforderlichen Bedingungen erfüllt sind.[/quote]
Damit verwendet dann wohl bcdboot automatisch die neuen Dateien aus den EX-Ordnern. Getestet habe ich das aber noch nicht.
Der Artikel wurde auch überarbeitet, da es wohl mit dem Update am 09.07.2024 Änderungen gab.
https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
Muss ich die Tage wohl mal selber wieder testen. Das sind jetzt wohl Schritte dazugekommen:
----
1. "Windows UEFI CA 2023" installieren (2x booten erforderlich):
[code]reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f[/code]
2. Bootdateien aktualisieren (2x booten erforderlich):
[code]reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f[/code]
3. Sperrliste (DBX) installieren (2x booten erforderlich):
[code]reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f[/code]
4. SVN Update für die Firmware (2x booten erforderlich):
[code]reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f[/code]
Überprüfen dann in der Powershell jeweils mit
[code][System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'[/code]
[code][System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' [/code]
Den Part mit der DBX würde ich aber derzeit noch auslassen. Das führt nur zu Problemen, da sich dann kein USB-Stick oder ISOs mit Bootdatein starten lassen, welche ein zurückgezogenes Zertifikat verwenden.
