Nem, nem kell letiltania a jelszó-helyreállítási kérdéseket a Windows 10 rendszerben

A közelmúltban egy kutatócsoport egy olyan forgatókönyvet ismertetett, amelyben a jelszó-helyreállítási kérdéseket a Windows 10 PC-kbe való betörésre használták. Ez arra enged következtetni, hogy a funkció le van tiltva. De nem kell ezt megtennie, ha otthoni számítógép-felhasználó vagy.

Szóval, mi folyik itt?

Ahogy az Ars Technica először jelentette be, a Windows 10 lehetőséget adott a jelszó-helyreállítási kérdések helyi számlákon történő beállítására az elmúlt évben. A biztonsági kutatók beletörődtek ehhez, és felfedezték, hogy egy üzleti hálózaton ez potenciális sérülékenységhez vezethet.

A denevérről közvetlenül két fontos pontot találhat:

• Először is, a teljes forgatókönyv a tartományhálózathoz csatlakozó számítógépekre támaszkodik - az a fajta, amelyet egy üzleti hálózaton talál a felügyelt számítógépekkel.
• Másodszor, a biztonsági rés a helyi fiókokra vonatkozik. Ez különösen érdekes, mert ha a számítógép egy tartomány részét képezi, akkor szinte biztosan egy központi felhasználói fiókot használ, nem pedig helyi fiókot. A biztonsági kérdések alapértelmezés szerint nem engedélyezettek a tartományi fiókokban.

Van még egy harmadik pont, ami még fontosabb. Mindez megköveteli, hogy a rosszindulatú szereplő először adminisztrátor szintű hozzáférést szerezzen a hálózaton. Innen meg tudják azonosítani a hálózathoz csatlakozó gépeket, amelyek még mindig rendelkeznek helyi fiókokkal, majd biztonsági kérdéseket adnak hozzá ezekhez a fiókokhoz.

Minek?

Az ötlet az, hogy ha az adminisztrátorok felfedezik és visszavonják a rosszindulatú szereplő hozzáférését, majd megváltoztatják az összes jelszót, akkor a színész elméletileg visszavezethetné ezeket a gépeket a hálózatba, és egyéni kérdéseit használhatja a jelszavak visszaállításához és a teljes hozzáférés visszaállításához..

A kutatók azt javasolják, hogy egy hashing eszközzel is meghatározhatják az előző jelszót, majd visszaállíthatják a régi jelszót, hogy elrejtsék a hozzáférést. A probléma az, hogy a legtöbb tartományhálózat alapértelmezés szerint nem engedélyezi az újrafelhasználott jelszavakat.

Amikor Ars Technica észrevételt kért a Microsofttól, a válasz rövid volt:

A leírt technika megköveteli, hogy a támadó már rendelkezik rendszergazdai hozzáféréssel

Bár ez eleve elhomályosnak tűnhet, az a helyes, amit a Microsoft rámutat, és ez az ügy valódi lényegéhez vezet. Ha egy rosszindulatú szereplőnek adminisztratív szintű hozzáférése van a hálózaton, a lehetséges támadások és a támadások messze túlmutatnak az egyszerű jelszó-visszaállítási trükkökön. És ha egy hálózat eléggé robusztus ahhoz, hogy megakadályozza a rosszindulatú szereplők számára az adminisztratív szint elérését, akkor mindez vitathatatlan.

Végül a rosszindulatú támadónak rendszergazdai szintű hozzáférést kell kapnia egy olyan üzleti hálózathoz, amely Windows-tartományt használ, és olyan számítógépeket talál, amelyeken helyi fiókok vannak, majd biztonsági kérdéseket hozhat létre, hogy visszatérhessenek ezekbe számítógépek, ha azokat felfedezték és zárolják. És aggódnunk kell, hogy amikor a rendszergazda-szintű hozzáférésük sokkal több kárt tehet nekik.

Megvan. Szóval, ez vonatkozik nekem?

Ha Windows 10 számítógépet használ otthon, a rövid válasz szinte biztosan nem. És miért:

• Otthoni számítógépe valószínűleg nem csatlakozik egy tartományhoz.
• Ha mégis, akkor helyi fiókot kell használnia, és a Windows 10 rendszerben a legtöbb ember valószínűleg egy Microsoft-fiókot használ, hogy bejelentkezzen. Ez azért van, mert a Windows 10 a Microsoft Fiók használatához sok funkciót igényel. És bár a helyi fiók létrehozásához néhány további lépést tehet, a Microsoft nem teszi a legnyilvánvalóbb választást. Ha Microsoft-fiókot használ, akkor nincs lehetősége a jelszó-visszaállítási kérdések használatára.
• Ennek kihasználásához valaki távoli vagy fizikai hozzáférést kell biztosítani a számítógéphez. Ezzel a hozzáférési szinttel a jelszó-visszaállítási kérdések a legkevésbé aggódnak.

Tehát az esélye nagyon magas, hogy e kutatás egyik sem vonatkozik Önre. De még akkor is, ha egy tartományhoz csatlakozott helyi fiókot használ, mindez egy öreg kérdéssorhoz vezet. Mennyi kényelmet kell adnia a biztonság nevében? Ezzel szemben, mennyi biztonságot kell adnia a kényelem nevében?

Ebben az esetben hihetetlenül távoli az a lehetőség, hogy egy rossz színész hozzáférjen a gépéhez, és biztonsági kérdéseket használ a teljes ellenőrzés eléréséhez. A jelszó elfelejtésének esélye és a kérdések szükségessége egy kicsit magasabb. Tekintsd meg a helyzetedet, és készítsd el a legjobb választást.