Toimeenpanon yhteenveto
Tämä suojauspäivitys korjaa Windows Hello tunnistuksen ohitusongelman Windows 10, jonka avulla hyökkäyksellä on oikeus toistaa kuva päästäkseen käyttämään järjestelmää. Ohitus edellyttää fyysistä pääsyä käyttäjän fyysisen laitteen, mukautetun laitteiston ja irtaimen erikoiskuvan hallittuun haltuun.
Haavoittuvuustiedot
The 2021-07 cumulative security update addresses CVE-2021-34466 and was released on July 13, 2021.
Onnistuneen hyödynnys edellyttää seuraavia edellytyksiä:
-
Käyttäjän on oltava jo rekisteröityneenä Windows Hello kasvojentunnistus.
-
Hyökkäyksellä on fyysinen pääsy hänen laitteeseensa.
-
Hyökkäyksellä on pehmeitä kopioita uhrin infrapunakuvien kanssa.
-
Hyökkäyksellä on mukautettu USB-kameralaite, joka jäljittelee aitoa Windows Hello kasvokameraa. Hyökkäyksen hyökkäykset kytkevät haitallisen kameran uhrin laitteeseen ja suoratoistaa kohteessa kolme mainitut kuvakehykset.
Korjaukset & lieventämiset
13. heinäkuuta 2021 Microsoft julkaisi seuraavat korjaukset tämän heikkouden korjaukseen:
-
KB5004237 for Windows 10, versio 2004, kaikki versiot, Windows 10, versio 20H2, kaikki versiot ja Windows 10, versio 21H1, kaikki versiot
-
KB5004245 Windows 10 Enterprise, versio 1909, Windows 10 Enterprise ja Education, versio 1909 ja Windows 10 IoT Enterprise, versio 1909
-
KB5004244, Windows 10 Enterprise 2019 LTSC ja Windows 10 IoT Enterprise 2019 LTSC
-
KB5004281 for Windows 10 versio 1803 (saatavilla pyynnöstä)
Tarkkuuden tiedot
Nämä suojauspäivitykset koskevat rajoituksia, joiden vuoksi vain luotettujen kameroiden käyttö kasvotusten Windows Hello kanssa.
-
Nykyiset Windows Hello kasvotusten todennukseen käyttäjillä – Nämä ovat käyttäjiä, jotka ovat rekisteröityneet Windows Hello kasvotusten todennusta ennen tämän päivityksen käyttöä. Windows pyytää heitä todentamaan PIN-koodinsa uudelleen vain kerran tämän päivityksen asentamisen jälkeen.
-
Uudet Windows Hello kasvojentunnistuskäyttäjät – Nämä ovat käyttäjiä, jotka soveltavat tätä päivitystä ennen Windows Hello rekisteröitymiseen. Windows luo automaattisesti kameraan, jota käytetään Windows Hello kasvojentunnistusrekisteröintiä varten.
Valinnainen määritys
Erittäin tietoturvayksiköiset käyttäjät voivat myös määrittää seuraavan rekisteriarvon poistamaan kaikki ulkoiset kamerat käytöstä kasvotusten Windows Hello kanssa.
Rekisteripolku: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Avaimen nimi: "ShouldForbidExternalCameras"
Arvo = 1
Tyyppi: DWORD
Kokeneet käyttäjät tai IT-ammattilaiset voivat myös lisätä yllä mainitun rekisteriarvon suorittamalla seuraavan komennon järjestelmänvalvojan komentokehotteesta.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Huomaa, että tämän rekisteriarvon määrittäminen estää kaikkien ulkoisten USB-kameroiden Windows Hello kanssa. Käyttäjät voivat kuitenkin jatkaa ulkoisen kameran käytön muiden sovellusten, kuten Microsoft Teams.
Parannettu kirjautumisen suojaus
Asiakkaat, Windows Hello parannettu kirjautumissuojaus, ovat suojassa tältä haavoittuvuudelle. Parannettu kirjautumisen suojaus on uusi suojausominaisuus Windows, joka edellyttää laitevalmistajien järjestelmään esiasennettuja laitteita, ohjaimia ja laiteohjelmistoja. Ota yhteyttä laitteen valmistajaan ja pyydä lisätietoja laitteesi laajennetun kirjautumisen suojauksen tuesta.
Ohjelmisto, johon ohjelmisto vaikuttaa
Tämä Windows 10 vaikuttaa seuraaviin käyttöjärjestelmiin:
-
Windows 10 Versio 21H1 x64-pohjaisten järjestelmien
-
Windows 10 Versio 21H1 32-bittisille järjestelmille
-
Windows 10 ARM64-pohjaisten järjestelmien versio 21H1
-
Windows 10 Versio 21H1 ARM-pohjaisten järjestelmien
-
Windows 10 Versio 20H2 x64-pohjaisten järjestelmien -käyttöjärjestelmään
-
Windows 10 Versio 20H2 32-bittisille järjestelmille
-
Windows 10 Arm64-pohjaisten järjestelmien versio 20H2
-
Windows 10 Versio 20H2 ARM-pohjaisiin järjestelmiin
-
Windows 10 Versio 2004 x64-pohjaisiin järjestelmiin
-
Windows 10 Versio 2004 32-bittisille järjestelmille
-
Windows 10 ARM64-pohjaisten järjestelmien versio 2004
-
Windows 10 ARM-pohjaisten järjestelmien versio 2004
-
Windows 10 Versio 1909 x64-pohjaisiin järjestelmiin
-
Windows 10 Versio 1909 32-bittisille järjestelmille
-
Windows 10 ARM64-pohjaisten järjestelmien versio 1909
-
Windows 10 ARM-pohjaisten järjestelmien versio 1909
-
Windows 10 Versio 1809 x64-pohjaisiin järjestelmiin
-
Windows 10 Versio 1809 32-bittisille järjestelmille
-
Windows 10 ARM64-pohjaisten järjestelmien versio 1809
-
Windows 10 Versio 1809 ARM-pohjaisiin järjestelmiin
-
Windows 10 Versio 1803 x64-pohjaisiin järjestelmiin
-
Windows 10 Versio 1803 32-bittisille järjestelmille
-
Windows 10 ARM64-pohjaisten järjestelmien versio 1803
-
Windows 10 Versio 1803 ARM-pohjaisiin järjestelmiin
Usein esitetyt kysymykset
Q. Minulla ei ole laitetta, joka on yhteensopiva kasvojentunnistuksen Windows Hello tai en ole ottanut kasvojentunnistusta käyttöön Windows Hello. Onko minun syytä murehtia tästä haavoittuvuusongelmasta?
A. Et. Tämä haavoittuvuus koskee vain käyttäjiä, joilla on Facen kanssa yhteensopiva laite Windows Hello ja jotka ovat ilmoittautuneet kasvojentunnistustodennukseen.
Q. Miten voin suojata käyttäjiäni tältä haavoittuvuuksien henkilöltä?
A. Lataa ja asenna yllä olevat päivitykset.
Q. Onko minun määritettävä valinnainen rekisteriasetus suojaamaan laitteeni tältä haavoittuvuuksien henkilöltä?
A. Jos käytät vain sisäistä tai sisäistä Windows Hello, sinun ei tarvitse lisätä valinnaista rekisteriarvoa. Jos olet mobiilikäyttäjä, laitteesi voi kuitenkin kadota tai varastaa laitteesi. Tämän vuoksi voit lisätä valinnaisen rekisteriarvon, joka estää ulkoisten kameran Windows Hello, jos käytät ulkoista kameraa. Huomaa, että kaikkien ulkoisten USB-kameroiden käyttö Windows Hello Facen kanssa rekisteriarvon lisäämisen jälkeen. Käyttäjät voivat jatkaa ulkoisen kameran käytön muiden sovellusten, kuten Microsoft Teams.
Q. Voiko tätä haavoittuvuutta hyödyntää etäyhteyden avulla?
A. Et. Jotta hän voi hyödyntää tätä haavoittuvuutta, hyökkäyksellä on oltava täydet fyysiset käyttöoikeudet hänen laitteeseensa.
K. Onko minun asennettava tämä päivitys, jos laitteeni tukee parannettua kirjautumisen suojausta?
A. Parannettu kirjautumisen suojaus pienentää tätä haavoittuvuutta, mutta vain, jos ominaisuus on käytössä. Vaikka laitteessa olisi tarvittavat laitteisto- ja ohjelmistokomponentit, tarvitset yllä mainitun päivityksen, jos ominaisuus ei ole käytössä. Sinun on kuitenkin asennettava tämä päivitys, jotta saat muita suojauskorjauksia.
Q. Voinko jatkaa kasvontunnistuksen Windows Hello ilman, että päivitän järjestelmääni?
A. Windows Hello kasvontunnistus toimii edelleen, vaikka et päivitäkään järjestelmääsi. Kehotamme sinua päivittämään järjestelmän erityisesti, jos olet mobiilikäyttäjä.
K. Voinko poistaa Windows Hello kasvojentunnistuksen käytöstä ja jatkaa sormenjäljen Windows Hello käyttöä?
A. Kyllä. Voit poistaa Window Hellon kasvojentunnistuksen>Windows Hello Kasvot -Windows Hello ja jatkaa Window Hello Fingerprintn käyttöä.
