windows:win7_sha-problem []

Diese Seite ist nicht editierbar. Sie können den Quelltext sehen, jedoch nicht verändern. Kontaktieren Sie den Administrator, wenn Sie glauben, dass hier ein Fehler vorliegt.
Artikel von: https://www.borncity.com/blog/2019/06/11/bekommen-windows-7-nutzer-ein-sha-2-update-problem/

<html>
<h1 class="entry-title">Bekommen Windows 7-Nutzer ein SHA-2-Update Problem?</h1>

					<div class="entry-meta">
						<span class="meta-prep meta-prep-author">Publiziert am</span> <a href="https://www.borncity.com/blog/2019/06/11/bekommen-windows-7-nutzer-ein-sha-2-update-problem/" title="12:38" rel="bookmark"><span class="entry-date">11. Juni 2019</span></a> <span class="meta-sep">von</span> <span class="author vcard"><a class="url fn n" href="https://www.borncity.com/blog/author/guenni/" title="Alle Beiträge von Günter Born anzeigen">Günter Born</a></span>					</div><!-- .entry-meta -->

					<div class="entry-content">
						<p><img decoding="async" style="float: left; margin: 0px 10px 0px 0px; display: inline; border-width: 0px;" title="win7" src="https://www.borncity.com/blog/wp-content/uploads/2012/03/win7_thumb1.jpg" alt="win7" width="44" height="42" border="0" align="left">Besitzer von 32-Bit-Windows 7-Systemen laufen möglicherweise in das Problem, dass sie bald (d.h. vor Ablauf des Support-Zeitraums) keine Updates mehr bekommen. Hintergrund ist, dass das für SHA-2-signierte Updates erforderliche Paket KB4474419 nicht installiert werden kann.</p><div class="code-block code-block-1" style="margin: 8px auto; text-align: center; display: block; clear: both;">
<hr>Anzeige<br>
<!-- Am Artikel hinter 1. Para [Ad Exchange] Desktop -->
<!-- <div style="float: left; width: 49 %; overflow: hidden;" id="borncity_mr_1"></div><br><div style="width: 49 %; overflow: hidden;" id="borncity_mr_2"></div> -->
<div id="borncity_mr_1"></div><hr></div>

<p><span id="more-219024"></span></p>
<p><img decoding="async" loading="lazy" src="https://vg07.met.vgwort.de/na/de33da0dfed54025b3a0265641a27388" alt="" width="1" height="1">Wir haben heute Juni-Patchday, wo Microsoft Sicherheitsupdates verteilt. Daher möchte ich das Problem thematisieren, um herauszufinden, ob eine größere Anzahl an Nutzern von 32-Bit-Windows 7-Systemen betroffen ist.</p>
<h2>Hintergrund: Die Nachrüstung für SHA-2-Updates</h2>
<p>Zuerst ein kurzer Ausblick auf den Hintergrund. Microsoft hatte 2018 angekündigt, ab Mitte 2019 seine Windows-Updates nur noch mit SHA-2-Signaturen (statt mit SHA-1 und SHA-2) zu versehen – die Signierung mit SHA-1 entfällt dann aus Sicherheitsgründen. Ich hatte im Artikel <a href="https://www.borncity.com/blog/2018/11/21/windows-7-ab-april-2019-wird-ein-sha-2-update-bentigt/">Windows 7: Ab April 2019 wird ein 'SHA-2-Update' benötigt</a> darüber berichtet.</p>
<p>Benutzer von Windows 7 SP1 (sowie der Server Pendants) und WSUS benötigen daher ab April 2019 ein spezielles Update, welches die Maschine für SHA2-Codesignaturen ertüchtigt. Für eine Übergangszeit werden aber noch Updates mit beiden Signaturen ausgeliefert.</p>
<p>Microsoft hat zum 12. März 2019 den Support-Beitrag <a href="https://web.archive.org/web/20201231202502/https://support.microsoft.com/en-us/help/4472027/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus">4472027</a> (2019 SHA-2 Code Signing Support requirement for Windows and WSUS) dahingehend erweitert, als das die für Windows 7 Service Pack 1, Windows Server 2008 R2 Service Pack 1 und Windows Server 2008 Service Pack 2 erforderlichen SHA-2-Updates genannt werden.</p>
<p>Update <a href="https://support.microsoft.com/en-us/help/4474419">KB4474419</a> (SHA-2 code signing support update for Windows Server 2008 R2 and Windows 7: March 12, 2019) rüstet die Unterstützung für die SHA-2-Signaturauswertung für die genannten Betriebssysteme nach. Ich hatte im Blog-Beitrag <a href="https://www.borncity.com/blog/2019/03/13/windows-7-updates-rsten-sha-2-support-nach/">Windows 7: Updates rüsten SHA-2-Support nach</a> darauf hingewiesen.</p>
<p>Am 18. Juni 2019 muss in Umgebungen mit WSUS 3.0 SP1 das Update <a href="https://support.microsoft.com/en-us/help/4484071" target="_blank" rel="noopener noreferrer">KB4484071</a> installiert sein, um noch Updates zu erhalten. Für Windows 7 SP1 und Windows Server 2008 SP2 ist der SHA-2-Support ab dem 13. August 2019 verpflichtend. Ab September 2019 gibt es keine Updates mehr, wenn die Vorbereitungsupdates für den SHA-2-Support fehlen (siehe <a href="https://web.archive.org/web/20201231202502/https://support.microsoft.com/en-us/help/4472027/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus" target="_blank" rel="noopener noreferrer">diesen Microsoft-KB-Artikel</a>).</p>
<h2>Installationsprobleme mit Updates KB4474419</h2>
<p>Ich hatte im Blog-Beitrag <a href="https://www.borncity.com/blog/2019/03/13/windows-7-updates-rsten-sha-2-support-nach/">Windows 7: Updates rüsten SHA-2-Support nach</a> bereits auf Installationsprobleme mit diesem Update hingewiesen. Manche Nutzern haben bei Windows 7 in der 32-Bit-Version echte Probleme. Microsoft hat zwar am 12. März 2019 das Update <a href="https://support.microsoft.com/de-de/help/4474419/sha-2-code-signing-support-update" target="_blank" rel="noopener noreferrer">KB4474419</a> für die Unterstützung der SHA-2-Codesignierung für Windows Server 2008 R2, Windows 7 und Windows Server 2008 herausgebracht. Dessen Installation endet aber bei manchen Nutzern in einer Neustart-Schleife, wie man in <a href="https://www.borncity.com/blog/2018/11/21/windows-7-ab-april-2019-wird-ein-sha-2-update-bentigt/#comment-69285" target="_blank" rel="noopener noreferrer">diesen Kommentaren</a> nachlesen kann.</p>
<p>Bei Dr. Windows gibt es <a href="https://www.drwindows.de/windows-7-allgemein/154894-update-kb4474419-laesst-installieren.html" target="_blank" rel="noopener noreferrer">diesen Thread</a> zum Problem. Michael ILOFF hat es auch im englischsprachigen Blog-Beitrag in <a href="https://borncity.com/win/2019/03/19/windows-7-updates-for-sha-2-support/#comment-4780" target="_blank" rel="noopener noreferrer">diesem Kommentar</a> auf den Punkt gebracht: Ohne Installation des SHA-2-Updates werden Betroffene nach August 2019 keine neueren Updates mehr verarbeiten können. In Microsofts KB-Artikeln wie <a href="https://web.archive.org/web/20201231202502/https://support.microsoft.com/en-us/help/4472027/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus" target="_blank" rel="noopener noreferrer">hier</a> habe ich bisher keinen Hinweis auf diese Probleme gefunden.</p><div class="code-block code-block-3" style="margin: 8px auto; text-align: center; display: block; clear: both;">
<hr>Anzeige<br>
<!--  AdTag - 368*280 mitten im Text 10. Absatz -->
<div id="borncity_mr_3"></div><hr>
</div>

<h2>Fehlerursachen für die Neustartschleife</h2>
<p>Die Ursache für das Installationsproblem mit der anschließenden Neustartschleife scheinen fremde Bootlader oder verbogene Partitionsstrukturen zu sein.</p>
<h3>Ein KB-Artikel KB3033929 aus 2015</h3>
<p>Von Microsoft gibt es einen alten KB-Artikel <a href="https://support.microsoft.com/de-de/help/3033929/microsoft-security-advisory-availability-of-sha-2-code-signing-support" target="_blank" rel="noopener noreferrer">KB3033929</a> (<em>Microsoft-Sicherheitsempfehlung: Verfügbarkeit der SHA-2-Codesignaturunterstützung für Windows 7 und Windows Server 2008 R2</em>) vom 10. März 2015. Dort geht es genau um eine Unterstützung für die SHA-2-Codesignatur, die sich nicht installieren lässt. Dort heißt es, dass das Update nicht installierbar sei, wenn folgende Bedingungen gelten:</p>
<blockquote><p>Einige Benutzer können dieses Sicherheitsupdate nicht installieren, wenn ihre Computer die folgenden Bedingungen erfüllen:</p>
<ul>
<li>Sie verfügen über eine Multiboot-Konfiguration von Windows und verschiedene Linux-Distributionen</li>
<li>Sie verwenden keinen Windows-Bootloader</li>
<li>Windows- und Linux sind auf verschiedenen Laufwerken installiert</li>
</ul>
<p>Wir konnten gesichert feststellen, dass Systeme, bei denen der Windows-Bootloader als primärer Loader aktiviert ist, dieses Update erfolgreich installieren können, und dass Systeme, auf denen ein anderer Bootloader als primärer Bootloader angegeben ist, das Update selbst dann nicht installieren können, wenn der Benutzer mit diesem Loader Windows auswählt.</p></blockquote>
<p>Microsoft schlägt folgenden Workaround vor: <em>Um dieses Problem zu umgehen, können Sie entweder Windows als Standardbootloader verwenden oder die BIOS-Einstellungen so ändern, dass der Windows-Bootloader direkt aktiviert wird, wenn Sie dieses Update installieren. </em>Heise hat im Jahr 2015 den Artikel <a href="https://www.heise.de/security/meldung/Bootschleife-nach-SHA-2-Update-fuer-Windows-7-2574289.html" target="_blank" rel="noopener noreferrer">Bootschleife nach SHA-2-Update für Windows 7</a> auf Basis der obigen Informationen veröffentlicht, der noch praktische Ansätze liefert. Interessant sind auch die Kommentare zu diesem Artikel, die diverse Konstellationen als Fehlerursache samt Lösungsansätzen benennen.</p>
<h3>Das hilft möglicherweise bei Update KB4474419</h3>
<p>Behält man die obige Information im Hinterkopf, kommt man möglicherweise auch bei Update KB4474419 der Lösung näher. Nachfolgend habe ich mal einige Fundstellen aufgeführt, die das bestätigen:</p>
<ul>
<li>In <a href="https://www.drwindows.de/windows-7-allgemein/154894-update-kb4474419-laesst-installieren.html" target="_blank" rel="noopener noreferrer">diesen Thread</a> auf Dr. Windows zum Problem kommt die klare Aussage: <em>Ich </em><em>habe das Problem gestern bei mir lösen können! Das update läuft nicht durch wenn ein "alternativer bootloader" benutzt wird! </em>Der Nutzer verweist auf <a href="https://www.heise.de/newsticker/meldung/SHA-2-Support-fuer-Windows-7-und-Server-2008-R2-aktualisieren-4341198.html" target="_blank" rel="noopener noreferrer">meinen SHA-2-Artikel bei heise</a> (siehe folgender Punkt).</li>
<li>Im heise-Beitrag hatte ich geschrieben: <em>Inzwischen hat sich </em><a href="https://answers.microsoft.com/en-us/windows/forum/all/kb4474419-will-not-install/658900bc-3103-4a0e-a9ed-08c5c2d31e76" target="_blank" rel="noopener noreferrer">in einem englischen Microsoft-Forenthread</a><em> eine mögliche Ursache herauskristallisiert. Die Update-Installation scheitert, wenn ein fremder Bootlader (etwa Linux GRUB2, der auf eine Linux-Partition zeigt) vorhanden ist. Nach Entfernen des Bootladers oder 'abklemmen' des Linux-Laufwerks lässt sich das Update dann erfolgreich installieren</em>.</li>
<li>Auch in <a href="https://www.heise.de/forum/heise-online/News-Kommentare/SHA-2-Support-fuer-Windows-7-und-Server-2008-R2-aktualisieren/wg-Grub/thread-5928367/" target="_blank" rel="noopener noreferrer">diesem Kommentar</a> auf meinen heise-Artikel gibt es einen Hinweis: <em>Es reicht die Windowsplatte als erstes Bootmedium im Bios zu setzen. Danach lief bei mir das Update durch.</em></li>
</ul>
<p>Aus dem weiter oben zitierten heise-Beitrag aus 2015 möchte ich zudem auf <a href="https://www.heise.de/forum/heise-Security/News-Kommentare/Bootschleife-nach-SHA-2-Update-fuer-Windows-7/Alter-Trick-hilft-wieder/thread-894531/" target="_blank" rel="noopener noreferrer">diesem Kommentar</a> verweisen. Die Aussage: Es muss für die Windows Boot Partition das 'boot'-Flag gesetzt sein, damit es funktioniert. Das lässt sich mit Partitionierungswerkzeugen bewerkstelligen.</p>
<p>Weitere Ursachen für die Bootschleife kann auch <a href="https://www.heise.de/forum/heise-Security/News-Kommentare/Bootschleife-nach-SHA-2-Update-fuer-Windows-7/Ich-habe-gar-kein-Grub-installiert/thread-894485/#posting_4981351" target="_blank" rel="noopener noreferrer">installierte Software</a> sein, die den Bootlader von Windows 7 manipuliert. Aus dem hohlen Bauch fallen mir das Acronis sowie das frühere TrueCrypt (heute VeraCryt) ein – ob es zutrifft, weiß ich nicht. <a href="https://www.heise.de/forum/heise-Security/News-Kommentare/Bootschleife-nach-SHA-2-Update-fuer-Windows-7/Auch-Syslinux-betroffen/thread-894554/" target="_blank" rel="noopener noreferrer">Hier</a> wird Syslinux als Bootlader genannt. Abschließende Frage: Ist überhaupt noch jemand von diesem Problem betroffen?</p>
</html>
Benutzer-Werkzeuge

Webseiten-Werkzeuge

Seiten-Werkzeuge
