Každý týždeň používatelia dostávajú nové bezpečnostné bulletiny pre systém Windows 7, pripomínajú útoky cez internet, prevzatý malware a mnoho ďalších útokov, ktoré používatelia používajú na prístup k počítačom. O čom sa zriedka hovorí a čo je menej dôležité, sú fyzické útoky, ktorým musí používateľ čeliť, keď sa niekto pokúsi napadnúť svoj počítač.
Vezmite si napríklad - máte počítač v práci a jeden doma a niekedy musíte priniesť svoju prácu domov s vami a mať veľmi dôležité súbory uložené vo vašom domácom počítači, alebo naozaj nechcete, aby niekto mohol pristupovať k vášmu počítaču. Priemerný používateľ má jednu obrannú líniu, aby zabránil používateľom prihlásiť sa do vášho počítača a robiť to, čo chcú vo svojich súboroch, a to je nastavenie užívateľského hesla. Pokročilejší používatelia poznajú iné metódy, ako je nastavenie hesla prostredníctvom systému BIOS, ale tvárou v tvár, väčšina používateľov netuší, že to môžete urobiť.
Pred dvoma týždňami som napísal program, ktorý umožňuje používateľovi nahradiť Tlačidlo Jednoduché prístup na obrazovke prihlásenia, Toto bolo chápané ako prostriedok na poskytnutie väčšej flexibility používateľom, keďže niektorí používatelia nepoužívajú tlačidlo Jednoduché prístupy.
Pri podávaní tejto žiadosti som narazil na niečo čisto náhodou. Malá zmena kódu mojej aplikácie a nielen používateľ mohol nahradiť tlačidlo Jednoduché používanie, ale používateľ by ho mohol použiť ako prostriedok na prístup k počítaču niekoho cez obrazovku Prihlásenie. Všetko, čo musel urobiť, bolo nahradiť tlačidlo Jednoduchý prístup s konkrétny vstavaný natívny nástroj Windows“!
To by potenciálne umožnilo používateľovi obísť všetky heslá používateľov a umožnil používateľovi pripojiť flash disk … a odstrániť čokoľvek z počítača, ktorý si želajú. Nielenže to používateľovi umožní odstrániť súbory, ale používateľ by mohol odstrániť, upraviť alebo presunúť ľubovoľný súbor v počítači, ktorý v podstate zničí operačný systém, v takom prípade by ste museli preinštalovať.
Nasledujú screenshoty mojej modifikovanej aplikácie v práci:
Test užívateľského účtu, chránený heslom.
Moja palecová jednotka bola vložená. Zobrazuje, že na jednotke nie sú žiadne súbory.
Prehliadaním testovacieho účtu vyberte a skopírujte tri súbory, ktoré som vytvoril na testovanie.
Skopírovať na miniatúru.
Prihlásený, zobrazujúci súbory, ktoré som skopíroval na miniatúru.
To bola reakcia zástupcov spoločnosti Microsoft:
There are a couple of behaviors that make this an issue that we would not consider a security vulnerability from my understanding of your report.
- To run a different executable as admin, the file to be changed has to be changed by an admin. The changed utility may then be available to even standard users at logon, but the change must be done by an admin user.
- Physical access to the system is necessary in order to carry out this behavior. There are many malicious things a user can do with physical access to a system and while we do publish best practices for physical security of computing resources, we cannot protect against physical access in it entirety.
Nasledujúci odkaz poskytol spoločnosť Microsoft, v ktorej sa uvádza, že problém sa zaraďuje (2) # 3 a (1) # 6 do tohto zoznamu: 10 nemenné zákony o bezpečnosti
Čo zástupca spoločnosti Microsoft nedokázal pochopiť, že používateľ nemusí byť správcom na spustenie kódu. Môže ho spravovať každý, kto má dostatok vedomostí.
Moja poznámka k spoločnosti Microsoft je jednoduchá. Nahradenie tlačidla Jednoduchý prístup by nemalo byť také jednoduché. Mali by sa podniknúť lepšie kroky, aby sa zabezpečilo, že niečo takéto kritické nebolo možné zmeniť, pretože je základným prvkom prihlasovacej obrazovky. Ak to nemôžu zabezpečiť, potom by mala byť možnosť, aby sa toto tlačidlo nezobrazovalo.
Ak sa iní domnievajú, že je to vážny problém, ako som presvedčený, kontaktujte nás bezpečnosť (at) microsoft (dot) com a vyjadrite svoje obavy.
Súvisiace príspevky:
- Aplikácia Microsoft Surface Diagnostic Toolkit vám pomôže spustiť diagnostiku hardvéru
- Windows Password Recovery: Obnovenie strateného, zabudnutého hesla systému Windows
- Ako zmeniť pozadie používateľského rozhrania prihlasovania v systéme Windows 7
- Bezplatné testovacie nástroje na porovnanie výkonnosti webového prehliadača
- Najlepšie správcov hesiel pre Windows 10/8/7
