微軟給出 Windows 11 Bitlocker 問題解決方案，后續將推送更新修復
8 月 20 日消息，微軟上周確認 KB5012170 更新會導致一些問題，主要表現為 Secure Boot DBX 安全更新無法安裝。后續有更多用戶反饋說這不是唯一的問題，還存在一些其他與 BitLocker 相關的 Bug。
大量用戶在安裝該更新后啟動到 BitLocker 恢復界面。根據 The Register 以及微軟論壇、Reddit 和 Twitter 上的一些用戶反饋來看，Windows 11 會提示用戶在 BitLocker 恢復界面上輸入恢復密鑰。目前還不知道其他版本的 Windows 是否也受到影響。
根據初步調查結果，這一問題不會影響存儲的數據，這意味著用戶可以通過輸入存儲在微軟賬戶或活動目錄中的密鑰重新獲得對 PC 的控制權。
除此之外，還有用戶反饋稱，在安裝 KB5012170 后系統會將硬盤配置從 RAID 改為 AHCI。與 BitLocker 問題一樣，用戶可以將其系統改回 RAID 且不會丟失數據。不過目前，安全啟動 DBX 問題仍是唯一公認的問題。
微軟表示，KB5012170 更新了數據庫 DBX，此前系統中存在一項安全功能漏洞，攻擊者可以繞過安全啟動并加載不受信任的軟件。因此微軟不得不阻止來自第三方的證書，所以這次更新很重要，至少微軟認為用戶不應該跳過，盡管有太多太多的 Bug。
Windows 團隊現給出了一個臨時解決方案來解決 BitLocker 問題。IT之家提醒，如果您不想暫停 BitLocker 功能，則需要耐心等待微軟后續發布一個更新來修復該 Bug。
如果 BitLocker 組策略為本機 UEFI 固件配置啟用了 TPM 平臺驗證配置文件，并且按策略選擇了 PCR7，則可能會導致更新無法安裝。
若要查看 PCR7 綁定狀態，請運行具有管理權限的 Microsoft 系統信息 (Msinfo32.exe) 工具。
若要解決此問題，請在部署此更新之前執行以下操作之一：
- 在未啟用 Credential Gard 的設備上，從管理員命令提示符運行以下命令以暫停 BitLocker 以進行 1 次重啟周期：Manage-bde
–Protectors –Disable C: -RebootCount 1 然后，部署更新并重啟設備以恢復 BitLocker 保護。 - 在啟用了 Credential Guard 的設備上，從管理員命令提示符運行以下命令，以暫停 BitLocker 2 個重啟周期：Manage-bde
–Protectors –Disable C: -RebootCount 3 然后，部署更新并重啟設備以恢復 BitLocker 保護。
注意：此問題僅影響安全啟動 DBX 的安全更新 (KB5012170)，不會影響 2022 年 8 月 9 日發布的最新累積安全更新。
解決方法：如果您的設備提示您必須輸入 BitLocker 密碼才能啟動 Windows。
- 如果您尚未安裝 KB5012170 并且在您的設備上啟用了 BitLocker，請按照以下說明在安裝前暫時禁用 BitLocker。
- 如果您安裝了 KB5012170 并且尚未重新啟動您的設備，或者只重新啟動了一次，請使用以下說明暫時覆蓋 BitLocker。
重要提示：如果您在安裝 KB5012170 后重新啟動設備兩次或更多次，則您的設備不會受到此問題的影響。
解決方案
要在部署 KB5012170 時暫時掛起 BitLocker 或避免 BitLocker 恢復，請執行以下步驟：
- 從管理員命令提示符處運行以下命令：
- Manage-bde -protectors -disable%systemdrive% -rebootcount 2
- 如果尚未安裝更新 KB5012170，請安裝它。
- 重啟設備。
- 重新啟動設備。
- BitLocker 應在兩次啟動后自動啟用。
- 如果要手動恢復 BitLocker 以驗證它是否已啟用，請使用以下命令：
- Manage bde -protectors -Enable%systemdrive%
- 后續步驟：我們正在研究解決方案，并將在下一個版本中提供更新。
受影響的平臺：
- 客戶端：Windows 11，版本 21H2
- 服務器：無
