Microsoft запропонувала рішення проблеми з BitLocker після останнього оновлення Windows 11

Цього тижня Microsoft випустила низку квітневих оновлень Windows у межах «Patch Tuesday», що спричинило нові проблеми в деяких користувачів.

Спочатку Microsoft заявляла про відсутність проблем, однак дуже швидко визнала помилку з хибним відновленням BitLocker. Представники компанії зазначають, що проблема виникла через небажану конфігурацію групової політики, пов’язаної з BitLocker.

Проблема стосується як Windows 11, так і Windows 10, а також Windows Server 2025 і Server 2022. Вона призводить до появи запиту на ключ відновлення BitLocker на цих системах. У Microsoft запевняють, що ключ потрібно буде ввести лише один раз. До того ж проблема виникає лише на обмеженій кількості систем.

Зокрема, це пристрої, на яких BitLocker активовано на системному диску, налаштовано групову політику «Налаштування профілю перевірки платформи TPM для конфігурацій вбудованого ПЗ UEFI». PCR7 також включено до профілю перевірки або ж аналогічний ключ реєстру встановлено вручну.

У відомостях про систему (msinfo32.exe) зазначається, що прив’язка Secure Boot State PCR7 «неможлива». Сертифікат Windows UEFI CA 2023 присутній у базі даних підписів безпечного завантаження пристрою, що дає змогу використовувати Windows Boot Manager із сертифікатом 2023 року як завантажувач за замовчуванням. Або якщо на пристрої ще не запущено диспетчер завантаження Windows із цифровим підписом 2023 року.

Запропоновані Microsoft обхідні шляхи передбачають видалення проблемної конфігурації групової політики перед завантаженням оновлення Windows.

• Для цього необхідно відкрити редактор групових політик gpedit.msc і консоль керування груповими політиками.
• Перейти в Конфігурація ПК - Адміністративні шаблони - Компоненти Windows - Шифрування дисків BitLocker - Диски операційної системи.
• Встановити значення параметра «Налаштувати профіль перевірки платформи TPM для конфігурацій вбудованого ПЗ UEFI» - «Не налаштовано».
• Для поширення зміни політики необхідно ввести команду gpupdate /force.
• Для призупинення роботи BitLocker, якщо він активний на диску C, виконати команду manage-bde -protectors -disable C.
• Для відновлення роботи BitLocker на системному диску виконати команду manage-bde -protectors -enable C.
• Це дає змогу оновити прив’язки BitLocker для використання профілю PCR за замовчуванням.

Крім цього, також можна здійснити відкат проблеми (KIR) для запобігання її повторній появі під час наступних оновлень.

Серед запропонованих покращень останніх оновлень:

• Стан оновлення сертифікатів Secure Boot на пристрої відображатиметься в додатку «Безпека Windows».
• Оновлення містять додаткові дані про пристрої для покращення права на автоматичне отримання нових сертифікатів Secure Boot. Пристрої отримують нові сертифікати лише після достатньої кількості успішних сигналів оновлення.
• Оновлення також має вирішити проблему режиму відновлення BitLocker після оновлення Secure Boot.
• Підвищується надійність роботи Windows під час стиснення SMB через QUIC. Після встановлення оновлення запити на стиснення SMB через QUIC виконуються стабільніше, знижуючи ймовірність затримок і гарантуючи плавнішу та надійнішу роботу.
• Оновлення покращує захист від фішингових атак, які використовують файли віддаленого робочого столу (.rdp). Під час відкриття .rdp віддалений робочий стіл відображає всі запитувані параметри підключення перед початком з’єднання. Кожен параметр при цьому вимкнено за замовчуванням. Під час першого відкриття .rdp на пристрої один раз з’являється попередження системи безпеки.
• Виправлено проблему скидання налаштувань ПК, яка виникала під час використання параметрів «Зберегти мої файли» або «Видалити все». Такі випадки траплялися після встановлення березневого оновлення безпеки Hotpatch (KB5079420).

Дослідники з кібербезпеки виявили нову небезпечну кампанію, націлену на користувачів Windows 11. Microsoft пообіцяла 18 змін у Windows 11 протягом 2026 року.

Microsoft хоче виправити одну з найбільш дратівливих проблем Windows 11