Ei, sinun ei tarvitse poistaa salasanan palautuskysymyksiä Windows 10 ssä

Viime aikoina joukko tutkijoita kuvasi skenaariota, jossa salasanan palautuskysymyksiä käytettiin murtautumaan Windows 10 -tietokoneisiin. Tämä on johtanut siihen, että ominaisuus on poistettu käytöstä. Mutta sinun ei tarvitse tehdä tätä, jos olet kotitietokoneen käyttäjä.

Joten, mitä täällä tapahtuu?

Kuten Ars Technica ilmoitti ensimmäisen kerran, Windows 10 on lisännyt mahdollisuuden asettaa salasanan palautuskysymykset paikallisille tileille viime vuonna. Turvallisuustutkijat löysivät tämän ja huomasivat, että yritysverkossa tämä voisi johtaa mahdolliseen haavoittuvuuteen.

Aivan lepakosta, voit huomata kaksi tärkeää kohtaa siellä:

• Ensinnäkin koko skenaario perustuu verkkoihin, jotka on liitetty verkkotunnukseen, sellainen, jota yrityksesi verkostossa olisi hallittu tietokoneilla.
• Toiseksi haavoittuvuus koskee paikallisia tilejä. Tämä on erityisen mielenkiintoista, koska jos tietokoneesi on osa verkkotunnusta, käytät lähes varmasti keskitettyä verkkotunnuksen käyttäjätiliä eikä paikallista tiliä. Turvallisuuskysymykset eivät ole oletusarvoisesti sallittuja verkkotunnustileillä.

On myös kolmas kohta, joka on vieläkin tärkeämpää. Kaikki tämä edellyttää, että pahantahtoinen toimija saa ensin järjestelmänvalvojatason verkkoon. Sieltä he voisivat sitten tunnistaa verkkoon liitettyjä koneita, joilla on vielä paikallisia tilejä, ja lisää sitten tietoturvakysymyksiä näille tileille.

Miksi vaivautua?

Ajatuksena on, että jos järjestelmänvalvojat havaitsevat ja peruuttavat haittaohjelman tekijän pääsyn ja muuttavat sen jälkeen kaikki salasanat, näyttelijä voisi teoriassa palauttaa verkkoonsa nämä koneet ja käyttää mukautettuja kysymyksiä palauttamaan salasanat ja palauttaa täyden pääsyn.

Tutkijat ehdottivat, että he voisivat myös käyttää hajautustyökalua määrittämään edellisen salasanan ja palauttamaan vanhan salasanan piilottaakseen niiden käytön. Ongelmana tässä on se, että useimmat verkkotunnukset eivät salli oletuksena uudelleen käytettyjä salasanoja.

Kun Ars Technica pyysi Microsoftilta kommenttia, vastaus oli lyhyt:

Kuvattu tekniikka edellyttää, että hyökkääjällä on jo pääkäyttäjän pääsy

Vaikka tämä saattaa tuntua tylsältä, se, mitä Microsoft sanoo, on oikeassa, ja se tuo meidät asian todelliseen ytimeen. Kun haitallisella toimijalla on hallintotason pääsy verkkoon, mahdolliset vauriot ja hyökkäysmahdollisuudet ylittävät pelkästään yksinkertaiset salasanan nollauspisteet. Ja jos verkko on riittävän vankka estääkseen haittaohjelman tekijän saamasta hallintotasoa, kaikki tämä on kiistanalainen.

Lopulta pahantahtoisen hyökkääjän pitäisi saada pääkäyttäjätason käyttöoikeus Windows-verkkoa käyttävään yritysverkkoon, löytää tietokoneita, joilla voi olla paikallisia tilejä, ja luoda sitten turvallisuuskysymyksiä, jotta he voisivat palata niihin tietokoneet, jos ne on löydetty ja lukittu. Ja meidän pitäisi huolestua siitä, että kun heidän pääkäyttäjän tasonsa antaa heille mahdollisuuden tehdä paljon enemmän haittaa jo.

Sain sen. Eikö tämä sovellu minulle?

Jos käytät Windows 10 -tietokonetta kotona, lyhyt vastaus ei todellakaan ole. Ja tässä on, miksi:

• Kotitietokoneesi ei todennäköisesti liity verkkotunnukseen.
• Vaikka olisitkin, sinun on käytettävä paikallista tiliä, ja useimmat Windows 10 -käyttäjät käyttävät todennäköisesti Microsoft-tiliä kirjautuakseen sisään. Tämä johtuu siitä, että Windows 10 vaatii useiden ominaisuuksien käyttämiseksi Microsoft-tiliä oikein. Ja vaikka voit ottaa muutaman ylimääräisen askeleen paikallisen tilin luomiseksi, Microsoft ei tee siitä selvintä vaihtoehtoa. Jos käytät Microsoft-tiliä, sinulla ei ole mahdollisuutta käyttää salasanan palauttamista koskevia kysymyksiä.
• Tämän hyödyntämiseksi joku tarvitsee joko etäkäytön tai fyysisen pääsyn tietokoneeseen. Ja että tällainen käyttöoikeustaso on salasanan palauttamista koskevat kysymykset ovat vähiten huolenne.

Joten mahdollisuudet ovat erittäin korkeat, että mikään tästä tutkimuksesta ei koske sinua. Mutta vaikka käytät verkkotunnukseen liitettyä paikallista tiliä, kaikki tämä tulee vanhaan kysymykseen. Kuinka paljon mukavuutta sinun pitäisi luopua turvallisuuden nimissä? Sitä vastoin, kuinka paljon turvallisuutta sinun pitäisi luopua mukavuuden nimissä?

Tällöin on todennäköistä, että huono näyttelijä pääsee koneellesi ja käyttää turvallisuuskysymyksiä, jotta saat täyden hallinnan. Ja mahdollisuudet unohtaa salasanasi ja tarvitsevat kysymyksiä ovat hieman korkeammat. Arvioi tilanne ja tee paras valinta sinulle.