לא, אתה לא צריך להשבית שחזור סיסמאות שאלות ב - Windows 10
לאחרונה קבוצה של חוקרים תיאר תרחיש שבו שחזור הסיסמה שאלות שימשו כדי לפרוץ את Windows 10 מחשבים אישיים. זה הוביל כמה מציע להשבית את התכונה. אבל אתה לא צריך לעשות את זה אם אתה משתמש במחשב ביתי.
אז מה קורה כאן?
כפי Ars Technica הראשון דיווח, Windows 10 הוסיף את האפשרות להגדיר סיסמת שחזור שאלות על חשבונות מקומיים בשנה האחרונה. חוקרי אבטחה התעמק זה וגילה כי ברשת עסקית זה עלול להוביל לפגיעות פוטנציאלית.
מיד את המחבט, אתה יכול לזהות שתי נקודות חשובות שם:
- ראשית, התרחיש כולו מסתמך על מחשבים המחוברים לרשת תחום - מהסוג שתמצא ברשת עסקית עם מחשבים מנוהלים.
- שנית, הפגיעות חלה על חשבונות מקומיים. זה מעניין במיוחד, כי אם המחשב שלך הוא חלק תחום, אתה כמעט בוודאות באמצעות חשבון משתמש תחום מרכזי ולא חשבון מקומי. ושאלות אבטחה אינן מותרות בחשבונות תחום כברירת מחדל.
יש גם נקודה שלישית זה אפילו יותר חשוב. כל זה דורש את השחקן הזדוני הראשון כדי לקבל גישה ברמת המנהל ברשת. משם, הם יכולים לזהות מכונות המחוברות לרשת שעדיין יש להן חשבונות מקומיים ולאחר מכן להוסיף שאלות אבטחה לחשבונות אלה.
למה לטרוח?
הרעיון הוא שאם המנהלים יגלו ויבטלו את הגישה של השחקן הזדוני, לאחר מכן ישנו את כל הסיסמאות, השחקן יוכל, בתיאוריה, לעשות את דרכם חזרה לרשת ולהשתמש בשאלות מותאמות אישית כדי לאפס סיסמאות אלו ולהשיג גישה מלאה.
החוקרים הציעו שהם יכולים גם להשתמש בכלי hashing כדי לקבוע את הסיסמה הקודמת, ולאחר מכן לשחזר את הסיסמה הישנה כדי להסתיר את הגישה שלהם. הבעיה כאן היא שרוב רשתות הדומיינים אינן מאפשרות שימוש חוזר בסיסמאות כברירת מחדל.
כאשר ארס טכניקה ביקשה את מיקרוסופט להגיב, התגובה היתה קצרה:
הטכניקה המתוארת דורשת מתוקף שכבר יש לו גישה למנהל המערכת
אמנם זה אולי נראה אטום בהתחלה, מה מיקרוסופט רומז נכון, וזה מביא אותנו אל העיקר האמיתי של העניין. ברגע שלשחקן זדוני יש גישה ברמה הניהולית ברשת, הנזק הפוטנציאלי ושדרות ההתקפה מרחיקות לכת מעבר לטריקים פשוטים של איפוס סיסמה. ואם רשת חזקה מספיק כדי למנוע את השחקן הזדוני מאי פעם להשיג ברמה הניהולית, אז כל זה הוא שנוי במחלוקת.
לכן, בסופו של דבר, התוקף הזדוני שלנו יצטרך לקבל גישה ברמת מנהל מערכת לרשת עסקית המשתמשת בדומיין Windows, למצוא מחשבים שעשויים להיות להם חשבונות מקומיים, ולאחר מכן ליצור שאלות אבטחה כדי שיוכלו לחזור אל אלה מחשבים אם הם נתגלו ונעלמים. ואנחנו אמורים להיות מודאגים מכך שכאשר הגישה שלהם ברמה הניהולית נותנת להם את היכולת לעשות הרבה יותר נזק כבר.
הבנתי. אז, האם זה חל עליי?
אם אתה משתמש במחשב Windows 10 בבית, התשובה הקצרה היא בהחלט לא. והנה הסיבה:
- המחשב הביתי שלך הוא כנראה לא הצטרפו לתחום.
- גם אם כן, יהיה עליך להשתמש בחשבון מקומי ורוב האנשים ב- Windows 10 משתמשים כנראה בחשבון Microsoft כדי להיכנס. הסיבה לכך היא ש- Windows 10 דורש להשתמש בחשבון Microsoft כדי שתכונות רבות יפעלו כהלכה. ובעוד אתה יכול לעשות כמה צעדים נוספים כדי ליצור חשבון מקומי במקום, מיקרוסופט לא עושה את זה הבחירה הברורה ביותר. אם אתה משתמש בחשבון Microsoft, אין לך אפשרות להשתמש בשאלות לאיפוס סיסמה.
- כדי לנצל את זה, מישהו צריך להיות גם מרחוק או גישה פיזית למחשב. ועם רמת גישה זו, שאלות לאיפוס סיסמה הן המעט של הדאגות שלך.
אז, הסיכויים הם גבוהים מאוד שאף אחד ממחקר זה אינו חל עליך. אבל גם אם אתה משתמש בחשבון מקומי שהצטרף לתחום, כל זה מסתכם בקבוצת תשובות עתיקת יומין. כמה נוחות אתה צריך לוותר על שם האבטחה? לעומת זאת, כמה אבטחה אתה צריך לוותר בשם הנוחות?
במקרה זה, הסיכויים של שחקן גרוע גישה למכונה שלך באמצעות שאלות אבטחה כדי להשיג שליטה מלאה הם רחוק מאוד. ואת הסיכויים לשכוח את הסיסמה שלך ואת הצורך בשאלות הם קצת יותר גבוה. תסתכל על המצב שלך, ועשה את הבחירה הטובה ביותר עבורך.
