Не, не е нужно да забранявате Въпроси за възстановяване на паролата на Windows 10

Наскоро група изследователи описаха сценарий, при който въпросите за възстановяване на пароли бяха използвани, за да се пробият в Windows 10 компютри. Това доведе до някои предположения за деактивиране на функцията. Но не е нужно да правите това, ако сте потребител на домашен компютър.

И така, какво става тук?

Както Ars Technica за първи път съобщава, Windows 10 е добавил опцията за задаване на въпроси за възстановяване на пароли в местните сметки през изминалата година. Изследователите по сигурността се запознаха с това и откриха, че в бизнес мрежата това може да доведе до потенциална уязвимост.

Можете да забележите две важни точки:

• Първо, целият сценарий се основава на компютри, присъединени към мрежа от домейни - от вида, който ще намерите в бизнес мрежата с управлявани компютри.
• Второ, уязвимостта се отнася за местните сметки. Това е особено интересно, защото ако вашият компютър е част от домейн, почти сигурно използвате централизиран домейн потребителски акаунт, а не местен акаунт. По подразбиране в домейн профилите не са разрешени въпроси за сигурност.

Има и трета точка, която е още по-важна. Всичко това изисква първо злонамереният актьор да получи достъп на ниво администратор в мрежата. След това те могат да идентифицират машини, свързани с мрежата, които все още имат местни профили, и след това да добавят въпроси за сигурност към тези сметки.

Защо да се притесняваме?

Идеята е, че ако администраторите открият и отменят достъпа на зловреден актьор, като впоследствие променят всички пароли, той на теория може да се върне в мрежата до тези машини и да използва техните персонализирани въпроси, за да възстанови тези пароли и да възвърне пълния си достъп..

Изследователите предложиха също да използват хеширащ инструмент, за да определят предишната парола и след това да възстановят старата парола, за да скрият достъпа си. Проблемът тук е, че повечето мрежи от домейни не допускат повторно използвани пароли по подразбиране.

Когато Ars Technica помоли Microsoft за коментар, отговорът беше кратък:

Описаната техника изисква атакуващият да има администраторски достъп

Макар че това може да изглежда тъпо отначало, това, което Microsoft има предвид, е правилно и ни води до истинската същност на въпроса. След като злонамерен актьор има достъп на администраторско ниво в мрежата, потенциалните щети и начини на атака надхвърлят обикновените трикове за възстановяване на паролата. И ако мрежата е достатъчно здрава, за да попречи на зловредния актьор да натрупа административно ниво, тогава всичко това е спорно.

Така че, накрая, нашият злонамерен нападател ще трябва да получи достъп на ниво администратор до бизнес мрежа, която използва домейн на Windows, да намери компютри, които може да имат локални сметки в тях, и след това да създаде въпроси за сигурност, за да могат да се върнат в тези компютри, ако са открити и заключени. И ние трябва да се тревожим за това, когато техният достъп на ниво администратор им дава възможност да правят много повече вреди.

Схванах го. Така че, това се отнася за мен?

Ако използвате компютър с Windows 10 у дома, краткият отговор почти със сигурност не е. Ето защо:

• Домашният ви компютър най-вероятно няма да се присъедини към домейн.
• Дори и да е, трябва да използвате локален акаунт и повечето хора в Windows 10 вероятно използват профил в Microsoft, за да влязат. Това е така, защото Windows 10 изисква използването на акаунт на Microsoft, за да функционират много функции. И докато можете да направите няколко допълнителни стъпки, за да създадете локален акаунт, Microsoft не го прави най-очевидния избор. Ако използвате профил в Microsoft, нямате възможност да използвате въпроси за повторно задаване на паролата.
• За да се възползвате от това, някой би трябвало да има или дистанционен или физически достъп до вашия компютър. И с това ниво на достъп, въпросите за възстановяване на паролата са най-малкото притеснение.

Така че, шансовете са много високи, че нито едно от тези изследвания не се отнася за вас. Но дори ако използвате местен акаунт, присъединен към домейн, всичко това се свежда до вековна група въпроси. Колко удобно трябва да се откажете от името на сигурността? И обратно, колко сигурност трябва да се откажете от името на удобството?

В този случай, шансовете лош актьор да влезе във вашата машина и използването на въпроси за сигурност, за да получат пълен контрол, са невероятно отдалечени. А шансовете за забравяне на паролата и нуждата от въпроси са малко по-високи. Прегледайте ситуацията си и направете най-добрия избор за вас.