Kiekvieną savaitę vartotojams pateikiami nauji "Windows 7" saugos biuleteniai, primenama apie išpuolius per internetą, parsiųstos kenkėjiškos programos ir daugelis kitų išpuolių, kuriuos vartotojai naudoja prieigai prie kito kompiuterio. Tai, kas retai kalbama apie ir ne mažiau svarbu, yra fiziniai išpuoliai, su kuriais susiduria vartotojas, kai kas nors bandys užpulti savo kompiuterį.
Pavyzdžiui, jei turite kompiuterį darbe ir vieną namuose, kartais jūs turite grąžinti savo darbą kartu su savimi ir turėti labai svarbius failus, saugomus jūsų namų kompiuteryje, arba jūs tiesiog nenorite, kad kas nors pasiektų jūsų kompiuterį. Vidutinis vartotojas turi vieną gynybos liniją, kad žmonės negalėtų prisijungti prie jūsų kompiuterio ir daryti tai, ką jie pateiks į jūsų failus, ir nustatyti naudotojo slaptažodį. Daugiau pažengę naudotojai žino kitus metodus, tokius kaip slaptažodžio nustatymas naudojant BIOS, tačiau susiduria su tuo, dauguma vartotojų nesupranta, kad galite tai padaryti.
Prieš dvi savaites parašiau programą, kuri leidžia vartotojui pakeisti Lengvos prieigos mygtukas prisijungimo ekrane. Tai buvo suprantama kaip priemonė suteikti vartotojams daugiau lankstumo, nes kai kurie vartotojai nenaudoja mygtuko Lengva prieiga.
Bendradarbiaudami su šia paraiška, aš susidūriau su kažkuo vien tik atsitiktinai. Šiek tiek modifikavus kodą mano programai, ne tik vartotojas gali pakeisti mygtuką "Lengva prieiga", bet vartotojas gali jį naudoti kaip prieigą prie kurio nors kompiuterio prisijungimo ekrane. Viskas, ką turėjome padaryti, buvo "Lengvos prieigos" mygtuko pakeitimas "konkretus vidinis "Windows" įrankis“!
Tai potencialiai leistų vartotojui apeiti visus naudotojų slaptažodžius ir leisti vartotojui pridėti blykstę … ir pašalinti bet kokius dalykus iš norimo kompiuterio. Tai ne tik leistų vartotojui pašalinti failus, bet ir vartotojas galėtų ištrinti, modifikuoti ar perkelti bet kokį failą kompiuteryje, iš esmės sunaikindamas operacinę sistemą, tokiu atveju jums reikės iš naujo įdiegti.
Toliau pateikiami ekrano nuotraukos iš mano pritaikytos programos darbe:
Išbandykite vartotojo paskyrą, apsaugotą slaptažodžiu.
Įdėtas mano nykščio įtaisas. Rodo, kad diske nėra jokių failų.
Naršydami bandymo paskyrą, pasirinkite ir kopijuokite tris sukurtus failus, kad galėtumėte išbandyti.
Nukopijuotas į "thumbdrive".
Prisijungęs, rodydami failus, kuriuos nukopijuoju į nykščio diskus.
Tai buvo "Microsoft" atstovų atsakymas:
There are a couple of behaviors that make this an issue that we would not consider a security vulnerability from my understanding of your report.
- To run a different executable as admin, the file to be changed has to be changed by an admin. The changed utility may then be available to even standard users at logon, but the change must be done by an admin user.
- Physical access to the system is necessary in order to carry out this behavior. There are many malicious things a user can do with physical access to a system and while we do publish best practices for physical security of computing resources, we cannot protect against physical access in it entirety.
Šią nuorodą pateikė "Microsoft", nurodydama, kad šis numeris įtrauktas į šį sąrašą: (2) Nr. 3 ir (1) # 6: 10 Nepakeičiami saugumo įstatymai
Ką "Microsoft" atstovas nesuprato, buvo tai, kad vartotojas neturi būti administratoriaus paleisti kodą. Tai gali valdyti visi, turintys pakankamai žinių.
Mano taškas "Microsoft" yra paprastas. Paprastos prieigos mygtuko keitimas neturėtų būti toks paprastas. Buvo imtasi geresnių žingsnių siekiant užtikrinti, kad kažką šio kritinio negalima keisti, nes jis yra pagrindinis prisijungimo ekrano elementas. Jei jie to negali užtikrinti, turėtų būti parinktis, kad šis mygtukas nebūtų rodomas.
Jei kiti mano, kad tai yra rimta problema, manau, kad tai yra, prašome kreiptis saugumas (at) microsoft (dot) com ir išreikšti savo rūpesčius.
Susijusios žinutės:
- "Microsoft Surface Diagnostic Toolkit" padeda valdyti aparatinės įrangos diagnostiką
- "Windows" slaptažodžio atkūrimas: atkurti prarastą, pamirštą "Windows" slaptažodį
- Kaip pakeisti "Logon" vartotojo sąsajos foną "Windows 7"
- Nemokamos žiniatinklio naršyklės testavimo įrankiai
- Geriausi nemokami slaptažodžių valdytojai, skirti "Windows 10/8/7"
