Selamlar,
BlackX kampanyasının gösterdiği gibi, Secure Boot yamasını kurmak tek başına Baton Drop benzeri zincirleri durdurmayabiliyor. Microsoft KB5025885, iptallerin elle etkinleştirilmesi gerektiğini yıllardır yazıyor; Enforcement Phase hâlâ ileri bir tarihe bırakılmış durumda. Bu rehber, kurumsal Windows yöneticisi için sadeleştirilmiş bir yol haritası. Üretimde uygulamadan önce mutlaka pilot yapın; bazı adımlar geri alınamaz.
Konuda anlatılacaklar
- Riskleri bilerek başlayın
- Adım adım etkinleştirme
- Doğrulama
- Kurtarma medyası
- Bilinen sorunlar
1. Riskleri bilerek başlayın
- DBX'e PCA 2011 eklendikten sonra eski imzalı boot manager'lar çalışmaz.
- Eski kurtarma USB / PXE medyası önyüklemeyebilir.
- Bazı üretici üretici yazılımları DB/DBX güncellemesini bozar; cihaz sınıfı başına test şart.
- BitLocker kurtarma ekranına düşebilirsiniz; 48 haneli anahtarı önceden alın.
Kod:
manage-bde -protectors -get %systemdrive%2. Adım adım (özet)
Önce son aylık güvenlik güncellemesini kurun. Ardından (Yönetici PowerShell/CMD):
Kod:
# 1) 2023 UEFI CA'yi DB'ye ekle
reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# Dogrula (True donmeli)
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
# 2) PCA 2011'i DBX'e ekle (iptal)
reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# Dogrula
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'3. Doğrulama olayları
Olay Kimliği 1036 (DB), 1799 (boot manager), 1037 (DBX), 1042 (SVN). Servicing altındaki UEFICA2023Status değerinin Updated olması beklenir.
4. Kurtarma medyası
İptalden önce, DB güncellemesi uygulanmış bir makinede "Create a Recovery Drive" ile FAT32 USB oluşturun ve bcdboot /bootex adımlarını Microsoft makalesindeki gibi uygulayın. Eski medyayı envanterden çıkarın.
5. Bilinen sorunlar (makaleden)
HP Sure Start, bazı Arm64/Qualcomm, VMware Secure Boot VM'leri, Symantec Endpoint Encryption gibi durumlarda ek üretici adımları gerekebilir. Geniş yayından önce pilot şart.
Kaç makinenizde DBX iptali gerçekten etkin? Ölçümleyen var mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar