Πιθανότητα παράκαμψης δικαιωμάτων πρόσβασης σε δίσκο NTFS για αφαιρούμενα ή εξωτερικά μέσα

ΕΙΣΑΓΩΓΗ

Έχουμε υπόψη μας αναλυτικές πληροφορίες και εργαλεία τα οποία μπορούν να χρησιμοποιηθούν για πρόσβαση αρχείων σε αφαιρούμενες συσκευές. Αυτά τα εργαλεία μπορούν να παρακάμψουν τα δικαιώματα αρχείων NTFS σε διανομές των Microsoft Windows που δεν είναι διακομιστές. Γνωρίζουμε ότι αυτό το ζήτημα ενδέχεται να επηρεάσει εσωτερικούς δίσκους, σταθερούς δίσκους που έχουν επισημανθεί ως αφαιρούμενοι, καθώς και εξωτερικά μέσα όπως USB, Firewire, E-SATA, SD και άλλα αφαιρούμενα μέσα. Έχουμε υπόψη περιπτώσεις στις οποίες δίσκοι σε ορισμένους ελεγκτές αποθήκευσης ενδέχεται να έχουν επισημανθεί ως "αφαιρούμενοι", ανεξαρτήτως της φυσικής θέσης τους μέσα ή έξω από το περίβλημα του υπολογιστή ή του είδους της σύνδεσης που χρησιμοποιείται από το δίσκο. 

Αυτό το ζήτημα δεν επηρεάζει τον κύριο τόμο του συστήματος (δηλαδή, τη συσκευή από την οποία εκτελούνται τα Windows τη συγκεκριμένη στιγμή).

Κινδυνεύουν κυρίως τα συστήματα που επηρεάζονται σε προεπιλεγμένη ρύθμιση παραμέτρων. Για παράδειγμα, σε αυτά περιλαμβάνονται συστήματα με πολλούς δίσκους από τους οποίους εκτελούνται Windows Vista, Windows 7 και Windows 8.

Περισσότερες πληροφορίες

Προτεινόμενη αντιμετώπιση

Για τους πελάτες που θέλουν να διατηρήσουν τα δικαιώματα δίσκου επιπέδου λειτουργικού συστήματος για δευτερεύοντες δίσκους οι οποίοι έχουν επισημανθεί ως "αφαιρούμενοι", συνιστούμε να εκτελέσουν ένα από τα ακόλουθα βήματα θωράκισης:

• Ενεργοποιήστε το Microsoft Bitlocker (συνιστάται).

• Ενεργοποιήστε τους ελέγχους για πρόσβαση ανάγνωσης και δικαιώματα εγγραφής σε αφαιρούμενες συσκευές ή μέσα.

Αυτόματη επίλυση

Συνήθεις ερωτήσεις

• Γιατί τα Windows έχουν διαφορετικές πολιτικές ασφάλειας για διαφορετικά είδη μέσων αποθήκευσης;
  Τα Windows υποστηρίζουν πολλές συσκευές αποθήκευσης, από συμβατικούς σταθερούς δίσκους, όπως μονάδες σκληρού δίσκου και μονάδες σταθερής κατάστασης, έως αφαιρούμενους δίσκους, όπως κάρτες SD και μονάδες USB. Η υποστήριξη πολλών συσκευών αποθήκευσης επιτρέπει στους πελάτες να χρησιμοποιούν τα Windows για πολλά σενάρια μαζί με το εμπλουτισμένο περιβάλλον εμπορικής προσαρμογής του υλικού που είναι συμβατό με τα Windows. Σε αυτές περιλαμβάνονται συσκευές για καταναλωτές, όπως κάμερες, κινητά τηλέφωνα και ούτω καθεξής. Τα Windows παρέχουν εξαίρετη πλήρη εμπειρία για όλα αυτά τα σενάρια και τις συσκευές σε όλα τα διαφορετικά περιβάλλοντα στα οποία αναπτύσσονται τα Windows, από σπίτια έως μικρές και μεγάλες επιχειρήσεις. 
  
  Η σχεδίαση των Windows ώστε να υποστηρίζουν όλα αυτά τα διαφορετικά σενάρια απαιτεί κατανόηση των διάφορων απαιτήσεων και προτεραιοτήτων που είναι συσχετισμένες με κάθε σενάριο. Σε αυτές περιλαμβάνεται μια σειρά παραγόντων, όπως ευχρηστία, ασφάλεια, δυνατότητα διαχείρισης και άλλες δυνατότητες. Επομένως, υπάρχουν διαφορές στον τρόπο με τον οποίο πραγματοποιείται η διαχείριση συγκεκριμένων κατηγοριών συσκευών αποθήκευσης από τη σκοπιά της ασφάλειας. Οι διαφορές αντικατοπτρίζουν πολλούς παράγοντες. Σε αυτούς περιλαμβάνονται το περιβάλλον στο οποίο θα χρησιμοποιηθεί η συσκευή (όπως κυρίως στο σπίτι σε αντίθεση με ένα περιβάλλον μεγάλης επιχείρησης) και το αν η συσκευή θα χρησιμοποιηθεί ανάμεσα σε διαφορετικές συσκευές. Στις τελευταίες περιλαμβάνονται συσκευές που δεν βασίζονται στα Windows. 
  

• Τι προκάλεσε αυτό το ζήτημα;
  Η κύρια διαφορά στην πολιτική ασφάλειας είναι ανάμεσα στους συμβατικούς, σταθερούς δίσκους και τους αφαιρούμενους δίσκους.
  
  Από προεπιλογή, η πρόσβαση σε δεδομένα που είναι αποθηκευμένα σε έναν συμβατικό σκληρό δίσκο περιορίζεται από λίστες ελέγχου πρόσβασης (ACL) του συστήματος μέσω απαίτησης αναβαθμισμένων δικαιωμάτων διαχειριστή. Με αυτόν τον τρόπο, παρέχεται ένα κατάλληλο επίπεδο ασφάλειας σε κάθε διαφορετικό περιβάλλον. Έτσι, εξασφαλίζεται η δυνατότητα τόσο για συστήματα μεμονωμένων χρηστών όσο και για συστήματα πολλών χρηστών. Στους περισσότερους υπολογιστές, το σημείο στο οποίο βρίσκονται τα σημαντικά δεδομένα, όπως το λειτουργικό σύστημα, είναι ο σκληρός δίσκος και τα ACL απαιτούν αναβαθμισμένα διαπιστευτήρια διαχειριστή για πρόσβαση σε αυτά τα δεδομένα. Τα Windows παρέχουν διάφορα εργαλεία δυνατότητας διαχείρισης, για να επιτρέψουν τον έλεγχο αυτής της πολιτικής με πιο αναλυτικό τρόπο, αν χρειάζεται. Σε αυτά περιλαμβάνονται το Bitlocker, η πολιτική ομάδας και πρόσθετα ACL. Στους σκληρούς δίσκους, οι χρήστες που δεν είναι διαχειριστές δεν μπορούν να εκτελούν εργαλεία σε επίπεδο τόμου, όπως διαμόρφωση, ούτε να έχουν άμεση πρόσβαση επιπέδου αποκλεισμού στα περιεχόμενα του συστήματος αρχείων. 
  
  Αντιθέτως, τα αφαιρούμενα μέσα έχουν σχεδιαστεί ουσιαστικά για να μεταφέρονται ανάμεσα σε διαφορετικές συσκευές. Σε αυτές περιλαμβάνονται ηλεκτρονικές συσκευές για καταναλωτές και συσκευές που δεν βασίζονται στα Windows, όπως κάμερες και κινητά τηλέφωνα. Από προεπιλογή, η πρόσβαση στα δεδομένα που είναι αποθηκευμένα σε αφαιρούμενα μέσα δεν απαιτεί αναβαθμισμένα δικαιώματα διαχειριστή. Αυτές οι συσκευές είναι συνήθως συσχετισμένες με ηλεκτρονικές συσκευές για καταναλωτές. Πρέπει να διασφαλίσετε ότι η πρόσβαση στα δεδομένα στις συγκεκριμένες συσκευές είναι εύκολη, όπως επίσης και η δυνατότητα διαχείρισής τους. Για παράδειγμα, αν το σύστημα αρχείων σε μια αφαιρούμενη συσκευή καταστραφεί, οποιοσδήποτε χρήστης μπορεί να εκτελέσει την εντολή chkdsk και να δοκιμάσει να επιδιορθώσει το σφάλμα. Στα περιβάλλοντα στα οποία η πρόσθετη ασφάλεια αποτελεί προτεραιότητα, οι πελάτες μπορούν να υλοποιήσουν πρόσθετους ελέγχους οι οποίοι αποτρέπουν την πρόσβαση σε αφαιρούμενα μέσα ή απαιτούν την κρυπτογράφηση όλων των αφαιρούμενων μέσων. Με αυτόν τον τρόπο, περιορίζεται η χρήση των αφαιρούμενων μέσων στο πλαίσιο των απαιτήσεων ασφάλειας. 
  

• Πώς μπορώ να διαπιστώσω αν η ρύθμιση παραμέτρων μου είναι ευπαθής; 
  Οι χρήστες μπορούν να διαπιστώσουν αν έχουν αφαιρούμενες συσκευές στο περιβάλλον τους χρησιμοποιώντας το εικονίδιο γρήγορης πρόσβασης "Ασφαλής κατάργηση συσκευών υλικού" στην περιοχή ειδοποιήσεων της επιφάνειας εργασίας. Αν μια συσκευή αναφέρεται σε αυτό το μενού, σημαίνει ότι έχει επισημανθεί ως "αφαιρούμενη".
  
  Οι χρήστες μπορούν επίσης να έχουν πρόσβαση σε μια λίστα αφαιρούμενων συσκευών από τον Πίνακα Ελέγχου. Για παράδειγμα, ανοίξτε την επιλογή Όλα τα στοιχεία του Πίνακα Ελέγχου (All Control Panel Items), ανοίξτε το στοιχείο Συσκευές και εκτυπωτές (Device and Printers) και, στη συνέχεια, κάντε κλικ στην καρτέλα Συσκευές (Devices).
  
  Ανατρέξτε στην ενότητα "Τρόπος διαπίστωσης τυχόν επιρροής στο περιβάλλον σας" για περισσότερες πληροφορίες σχετικά με τον τρόπο με τον οποίο μπορείτε να χρησιμοποιήσετε το Windows PowerShell ώστε να διαπιστώσετε αν η ρύθμιση παραμέτρων σας είναι ευπαθής.
  

• Ποια λειτουργικά συστήματα των Windows επηρεάζονται σε προεπιλεγμένες ρυθμίσεις παραμέτρων; 
  Σε προεπιλεγμένες ρυθμίσεις παραμέτρων επηρεάζονται τα Windows Vista, τα Windows 7 και τα Windows 8.
  

• Ποιοι είναι οι πιθανοί κίνδυνοι επιβολής πρόσβασης ανάγνωσης και δικαιωμάτων εγγραφής σε αφαιρούμενα μέσα μέσω πολιτικής ομάδας; 
  Ο περιορισμός της πρόσβασης σε αφαιρούμενες συσκευές αποθήκευσης μέσω πολιτικής ομάδας ενδέχεται να προκαλέσει την εμφάνιση σφαλμάτων σε ορισμένες εφαρμογές ή να απαιτεί αναβαθμισμένα δικαιώματα. Για παράδειγμα, το λογισμικό δημιουργίας αντιγράφων ασφαλείας ίσως να μην δημιουργεί αντίγραφα ασφαλείας από ή προς τις αφαιρούμενες συσκευές. Παρομοίως, οποιαδήποτε δραστηριότητα εξέτασης του δίσκου (chkdsk) ή διαμόρφωσης του δίσκου θα απαιτεί δικαιώματα διαχειριστή. Αυτή η απαίτηση ενδέχεται να προκαλέσει σφάλματα στο λογισμικό διαχείρισης και χειρισμού του δίσκου, όταν αυτό βρίσκεται σε περιορισμένη λειτουργία εκτέλεσης.
  

• Ποιοι είναι οι πιθανοί κίνδυνοι του Bitlocker;
  Το Bitlocker αποτελεί την προτεινόμενη λύση για την ασφάλεια δεδομένων όσον αφορά τις αφαιρούμενες συσκευές. Η χρήση του Bitlocker θα προκαλέσει μια μικρή μείωση στις επιδόσεις, όταν κρυπτογραφεί και αποκρυπτογραφεί δεδομένα. 
  

• Πώς μπορεί να εκμεταλλευτεί ένας εισβολέας την ευπάθεια;
  Ένας εισβολές με πρόσβαση χωρίς δικαιώματα διαχειριστή θα μπορούσε να εκτελέσει ανάγνωση ενός δίσκου ή εγγραφή σε αυτόν, ανεξάρτητα από το αν είναι τοπικός διαχειριστής. Ο εισβολέας θα είχε αυθαίρετη πρόσβαση ανάγνωσης και δικαιώματα εγγραφής στη συσκευή και στο σύστημα αρχείων. Αυτή η δυνατότητα θα μπορούσε να οδηγήσει σε στοχευμένη δημοσιοποίηση πληροφοριών.
  

Ευχαριστίες

Η Microsoft ευχαριστεί τους παρακάτω για τη συνεργασία τους στην προστασία των πελατών:

• Τον George Georgiev Valkov για τη συνεργασία του σε αυτό το ζήτημα.