Kommenteeritud kokkuvõte
See värskendus kõrvaldab Windows Hello näotuvastuse haavatavuse, mis Windows 10 võimaldab ründajal süsteemile juurdepääsu saamiseks pilti uuesti kuvada. See möödumine nõuab füüsilist juurdepääsu, mis hõlmab kasutaja füüsilist seadet, kohandatud riistvara ja spetsiaalset infrapunapilti.
Haavatavuse teave
2021–2007 koondturvavärskenduse aadressid CVE-2021-34466 ja anti välja 13. juulil 2021.
Edukaks kasutamiseks on vaja järgmisi eeltingimusi.
-
Kasutaja peab juba olema registreeritud näoautentimise Windows Hello kasutajaks.
-
Ründajal on füüsiline juurdepääs ohvri seadmele.
-
Ründajal on ohvri infrapunapiltide pehmed koopiad.
-
Ründaja on viimistlenud kohandatud USB-kaameraseadme, mis jäljendab Windows Hello Face kaamerat. Ründaja ühendab pahatahtliku kaamera ohvri seadmega ja voogesitatakse punktis 3 mainitud pildiraamid.
Parandusi & leevendamine
13. juulil 2021 avaldas Microsoft selle haavatavuse lahendamiseks järgmised parandused.
-
KB5004237 for Windows 10, version 2004, all editions, Windows 10, version 20H2, all editions and Windows 10, version 21H1, all editions
-
KB5004245 Windows 10 Enterprise, versiooni 1909, Windows 10 Enterprise ja Educationi, versiooni 1909 ja Windows 10 IoT Enterprise versiooni 1909 jaoks
-
KB5004244 Windows 10 Enterprise LTSC ja Windows 10 IoT Enterprise LTSC jaoks
-
KB5004281 Windows 10 1803 jaoks (saadaval nõudmisel)
Eraldusvõime üksikasjad
Need turvavärskendused rakendavad piirangud, nii et näoautentimise korral on lubatud kasutada ainult Windows Hello kaameraid.
-
Olemasolevad Windows Hello näoautentimise kasutajad – need on kasutajad, kes Windows Hello enne selle värskenduse rakendamist näoautentimist. Windows palutakse neil pin-koodiga uuesti autentida ainult üks kord pärast selle värskenduse installimist.
-
Uued Windows Hello näoautentimise kasutajad – need on kasutajad, kes rakendavad selle värskenduse enne näoautentimise Windows Hello registreerimist. Windows automaatselt näoautentimise registreerimiseks Windows Hello kaamerat.
Valikuline konfiguratsioon
Väga turbeteadlikud kasutajad saavad konfigureerida ka järgmise registriväärtuse, et keelata kõik välised kaamerad kasutamiseks Windows Hello Face'iga.
Reg Path: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Võtme nimi: "ShouldForbidExternalCameras"
Väärtus = 1
Tüüp: DWORD
Kogenud kasutajad või IT-spetsialistid saavad ülaltoodud registriväärtuse lisada, käivitades administraatori käsuviiba kaudu järgmise käsu.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Pange tähele, et selle registriväärtuse konfigureerimine takistab kõigi väliste USB-kaamerate kasutamist koos Windows Hello Face'iga. Kasutajad saavad väliskaamerat edasi kasutada ka muude rakendustega (nt Microsoft Teams).
Täiustatud sisselogimisturve
Kliendid Windows Hello kellel on täiustatud sisselogimisturve, on selle haavatavuse eest kaitstud. Täiustatud sisselogimisturve on uus turbefunktsioon Windows, mis nõuab spetsiaalset riistvara, draivereid ja püsivara, mille seadmetootjad on süsteemi eelinstallinud. Seadmes täiustatud sisselogimisturbe toe kohta lisateabe saamiseks pöörduge oma seadme tootja poole.
Mõjutatud tarkvara
See Windows 10 mõjutab järgmisi põhiseid süsteeme.
-
Windows 10 Versioon 21H1 x64-põhistele süsteemidele
-
Windows 10 Versioon 21H1 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 21H1
-
Windows 10 ARM-põhiste süsteemide versioon 21H1
-
Windows 10 Versioon 20H2 x64-põhistele süsteemidele
-
Windows 10 Versioon 20H2 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 20H2
-
Windows 10 ARM-põhiste süsteemide versioon 20H2
-
Windows 10 Versioon 2004 x64-põhistele süsteemidele
-
Windows 10 Versioon 2004 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 2004
-
Windows 10 ARM-põhiste süsteemide versioon 2004
-
Windows 10 Versioon 1909 x64-põhistele süsteemidele
-
Windows 10 Versioon 1909 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 1909
-
Windows 10 ARM-põhiste süsteemide versioon 1909
-
Windows 10 Versioon 1809 x64-põhistele süsteemidele
-
Windows 10 Versioon 1809 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 1809
-
Windows 10 ARM-põhiste süsteemide versioon 1809
-
Windows 10 Versioon 1803 x64-põhistele süsteemidele
-
Windows 10 Versioon 1803 32-bitistes süsteemides
-
Windows 10 Arm64-põhiste süsteemide versioon 1803
-
Windows 10 ARM-põhiste süsteemide versioon 1803
Korduma kippuvad küsimused
Q. Mul pole seadet, mis ühildub Windows Hello näoautentimise või ma pole lubanud näotuvastust Windows Hello. Kas pean selle haavatavuse pärast muretsema?
A. Ei. See haavatavus on kohaldatav ainult neile kasutajatele, kellel on seade, mis ühildub Windows Hello Face'iga ja on registreerunud näotuvastusautentimise kasutajaks.
Q. Mida peaksin tegema, et kaitsta oma kasutajaid selle haavatavuse eest?
A. Laadige alla ja installige ülaltoodud värskendused.
Q. Kas pean konfigureerima valikulise registrisätte, et kaitsta oma seadmeid selle haavatavuse eest?
A. Kui kasutate ainult sisemist või sisseehitatud Windows Hello face-kaamerat, ei pea te lisama valikulist registriväärtust. Kui aga olete mobiilikasutaja, võib teie seadme kaotsimine või varastamine olla ohus. Seetõttu saate väliskaamera kasutamise vältimiseks lisada valikulise registriväärtuse, Windows Hello väliskaamerate kasutamist. Pange tähele, et kõik välised USB-kaamerad blokeeritakse pärast registriväärtuse Windows Hello Face'iga kasutamist. Kasutajad saavad välise kaamera kasutamist jätkata muude rakendustega (nt Microsoft Teams).
Q. Kas seda haavatavust saab eemalt ära kasutada?
A. Ei. Selle haavatavuse ärakasutamine peab ründajal olema täielik füüsiline juurdepääs ohvri seadmele.
Q. Kas ma pean selle värskenduse ikkagi installima, kui minu seade toetab täiustatud sisselogimisturve?
A. Täiustatud sisselogimisturve leevendab seda haavatavust, kuid ainult siis, kui funktsioon on lubatud. Isegi kui seadmel on vajalikud riistvara- ja tarkvarakomponendid, on teil siiski vaja eespool mainitud värskendust, kui funktsioon pole sisse lülitatud. Sõltumata sellest peaksite selle värskenduse siiski installima, et saada muid turbeparandusi.
Q. Kas ma saan kasutada Windows Hello näotuvastust ilma oma süsteemi värskendamata?
A. Windows Hello näotuvastus töötab ka siis, kui te oma süsteemi ei värskenda. Soovitame teil oma süsteemi värskendada, eriti kui olete mobiilikasutaja.
Q. Kas saan Windows Hello näotuvastuse keelata ja jätkata sõrmejälje Windows Hello kasutamist?
A. Jah. Window Hello näoautentimise saate eemaldada sisselogimissuvandites >Windows Hello Face, et lülitada välja Windows Hello Face ja jätkata funktsiooni Window Hello Fingerprint kasutamist.
