Ne, ne morate onemogućiti pitanja o oporavku zaporke na Windows 10

Nedavno je skupina istraživača opisala scenarij u kojem su pitanja za oporavak lozinke korištena za probijanje u Windows 10 računala. To je dovelo do nekih prijedloga za onemogućavanje značajke. Ali ne morate to učiniti ako ste korisnik kućnog računala.

Dakle, što se događa ovdje?

Kao što je Ars Technica prvi put prijavio, Windows 10 je dodao mogućnost postavljanja pitanja za oporavak zaporke na lokalnim računima u protekloj godini. Istraživači sigurnosti istraživali su to i otkrili da u poslovnoj mreži to može dovesti do potencijalne ranjivosti.

Odmah s palice možete uočiti dvije važne točke:

• Prvo, cijeli se scenarij oslanja na računala spojena na mrežu domene - vrstu koju biste pronašli u poslovnoj mreži s upravljanim računalima.
• Drugo, ranjivost se odnosi na lokalne račune. To je osobito zanimljivo jer ako je vaše računalo dio domene, gotovo sigurno koristite centralizirani korisnički račun domene, a ne lokalni račun. I sigurnosna pitanja nisu dopuštena na računima domene prema zadanim postavkama.

Tu je i treća točka koja je još važnija. Sve to zahtijeva da zlonamjerni glumac prvi dobije pristup administratorskoj razini na mreži. Odatle su mogli identificirati strojeve povezane s mrežom koji još uvijek imaju lokalne račune, a zatim dodavati sigurnosna pitanja tim računima.

Zasto se zamarati?

Ideja je da ako administratori otkriju i opozovu pristup zlonamjernog glumca, a zatim promijene sve zaporke, glumac bi se teoretski mogao vratiti u mrežu na te strojeve i koristiti svoja prilagođena pitanja za poništavanje tih lozinki i ponovno dobivanje punog pristupa.

Istraživači su predložili da također mogu koristiti alat za raspršivanje kako bi odredili prethodnu lozinku, a zatim vratili staru lozinku kako bi sakrili svoj pristup. Problem je u tome što većina mreža domena ne dopušta ponovno upotrijebljene lozinke prema zadanim postavkama.

Kada je Ars Technica zatražio od Microsofta komentar, odgovor je bio kratak:

Opisana tehnika zahtijeva da napadač već posjeduje administratorski pristup

Iako se to na prvi pogled čini tupim, ono što Microsoft implicira je ispravno, i to nas dovodi do prave bitnosti. Jednom kada zlonamjerni glumac ima pristup na administrativnoj razini na mreži, potencijalna šteta i putovi napada daleko nadilaze jednostavne trikove za poništavanje lozinke. A ako je mreža dovoljno robustna da spriječi zlonamjernog glumca da ikada dobije administrativnu razinu, onda je sve ovo bespredmetno.

Na kraju, naš zlonamjerni napadač morao bi dobiti pristup administratorskoj razini poslovnoj mreži koja koristi Windows domenu, pronaći računala koja na njima imaju lokalne račune, a zatim stvoriti sigurnosna pitanja kako bi se mogli vratiti u one računala ako su otkrivena i zaključana. I trebali bismo biti zabrinuti zbog toga što im pristup na razini administratora daje mogućnost da već čine više štete.

Imam ga. Dakle, primjenjuje li se to na mene?

Ako kod kuće koristite računalo sa sustavom Windows 10, kratki odgovor gotovo sigurno nije. I evo zašto:

• Vaše kućno računalo najvjerojatnije nije pridruženo domeni.
• Čak i da jeste, morali biste koristiti lokalni račun, a većina ljudi u sustavu Windows 10 vjerojatno koristi Microsoftov račun za prijavu. To je zato što Windows 10 zahtijeva korištenje Microsoft računa kako bi mnoge značajke ispravno funkcionirale. Iako možete napraviti nekoliko dodatnih koraka za stvaranje lokalnog računa, Microsoft to ne čini najočitijim izborom. Ako koristite Microsoftov račun, tada nemate mogućnost korištenja pitanja za poništavanje zaporke.
• Da biste to iskoristili, netko bi trebao imati daljinski ili fizički pristup vašem računalu. Uz tu razinu pristupa, pitanja za poništavanje zaporke su najmanje brige.

Dakle, vrlo su velike šanse da se ovo istraživanje ne odnosi na vas. Ali čak i ako koristite lokalni račun pridružen domeni, sve se to svodi na prastari set pitanja. Koliko bi vam trebalo odustati u ime sigurnosti? Isto tako, koliko sigurnosti trebate odustati u ime udobnosti?

U ovom slučaju, šanse lošeg glumca da pristupi vašem računalu i upotreba sigurnosnih pitanja za dobivanje potpune kontrole su nevjerojatno udaljeni. A šanse da zaboravite zaporku i potrebna su vam pitanja malo više. Pregledajte svoju situaciju i napravite najbolji izbor za vas.