Sažetak
Sigurnosno ažuriranje rješava slabu Windows Hello prepoznavanja lica u programu Windows 10 koja napadaču omogućuje ponovno reprodukciju slike radi pristupa sustavu. Za zaobilaženje je potreban fizički pristup uz potpunu pohranu korisnikova fizičkog uređaja, prilagođenog hardvera i posebne infracrvene (IR) slike.
Informacije o slaboj točke
Kumulativnim sigurnosnim ažuriranjem 2021-07 rješava se CVE-2021-34466 i objavljen je 13. srpnja 2021.
Za uspješno iskorištavanje potrebni su sljedeći preduvjeti:
-
Korisnik mora biti uključen u provjeru autentičnosti Windows Hello licem.
-
Napadač ima fizički pristup uređaju žrtve.
-
Napadač ima kopije infracrvenih slika žrtve.
-
Napadač obrta prilagođeni USB kamera uređaj koji oponaša legitiman Windows Hello face camera. Napadač će zlonamjernu kameru priključiti na uređaj žrtve i strujati okvire slike navedene u stavci tri.
Popravci & ublažavanja
13. srpnja 2021. Microsoft je objavio sljedeće popravke za zakrpanje te slabe točke:
-
KB5004237 za Windows 10, verziju 2004, sva izdanja, Windows 10, verziju 20H2, sva izdanja i Windows 10, verziju 21H1, sva izdanja
-
KB5004245 za Windows 10 Enterprise, verziju 1909, Windows 10 Enterprise i obrazovne ustanove, verziju 1909 i Windows 10 IoT Enterprise, verziju 1909
-
KB5004244 za Windows 10 Enterprise 2019 LTSC i Windows 10 IoT Enterprise 2019 LTSC
-
KB5004281 za Windows 10 verziju 1803 (dostupno na zahtjev)
Pojedinosti o razlučivosti
Ta sigurnosna ažuriranja implementirati ograničenja tako da se samo pouzdane kamere smiju koristiti s provjerom autentičnosti Windows Hello licem.
-
Postojeći Windows Hello za provjeru autentičnosti licem u lice – to su korisnici koji su se Windows Hello provjere autentičnosti licem prije primjene tog ažuriranja. Windows će od njih zatražiti da ponovno provjere autentičnost PIN-om samo jedanput nakon instalacije tog ažuriranja.
-
Novi Windows Hello za provjeru autentičnosti – to su korisnici koji primjenjuju ovo ažuriranje prije registracije u provjeru autentičnosti Windows Hello licem. Windows će automatski pouzdanu kameru koja se koristi za prijavu Windows Hello za provjeru autentičnosti lica.
Neobavezna konfiguracija
Vrlo sigurnosni svjesni korisnici mogu konfigurirati i sljedeću vrijednost registra da bi onemogućili sve vanjske kamere za korištenje Windows Hello Face.
Reg Path: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Naziv tipke: "ShouldForbidExternalCameras"
Vrijednost = 1
Vrsta: DWORD
Iskusni korisnici ili IT profesionalci mogu dodati i gornju vrijednost registra pokretanjem sljedeće naredbe iz naredbenog retka administratora.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Imajte na umu da će konfiguriranjem te vrijednosti registra spriječiti da se sve vanjske USB kamere koriste s Windows Hello Face. No korisnici mogu nastaviti koristiti vanjsku kameru s drugim aplikacijama kao što su Microsoft Teams.
Poboljšana sigurnost prijave
Korisnici s Windows Hello poboljšane sigurnosti prijave zaštićeni su od te slabe točke. Poboljšana sigurnost prijave nova je sigurnosna značajka u sustavu Windows za koju su potrebni specijalizirani hardver, upravljački programi i firmveri koje su proizvođači uređaja unaprijed instalirali na sustav. Obratite se proizvođaču uređaja da biste saznali više o podršci za poboljšanu sigurnost prijave na uređaju.
Zahvaćeni softver
Ova slaba Windows 10 sustava na temelju sljedećih sustava:
-
Windows 10 Verzija 21H1 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 21H1 za 32-bitne sustave
-
Windows 10 Verzija 21H1 za sustave utemeljene na ARM64 sustavu
-
Windows 10 Verzija 21H1 za sustave utemeljene na ARM-u
-
Windows 10 Verzija 20H2 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 20H2 za 32-bitne sustave
-
Windows 10 Verzija 20H2 za sustave utemeljene na ARM64 sustavu
-
Windows 10 Verzija 20H2 za sustave utemeljene na ARM-u
-
Windows 10 Verzija 2004 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 2004 za 32-bitne sustave
-
Windows 10 Verzija 2004 za sustave utemeljene na ARM64
-
Windows 10 Verzija 2004 za sustave utemeljene na ARM-u
-
Windows 10 Verzija 1909 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 1909 za 32-bitne sustave
-
Windows 10 Verzija 1909 za sustave utemeljene na ARM64-u
-
Windows 10 Verzija 1909 za sustave utemeljene na ARM-u
-
Windows 10 Verzija 1809 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 1809 za 32-bitne sustave
-
Windows 10 Verzija 1809 za sustave utemeljene na ARM64-u
-
Windows 10 Verzija 1809 za sustave utemeljene na ARM-u
-
Windows 10 Verzija 1803 za sustave utemeljene na sustavu x64
-
Windows 10 Verzija 1803 za 32-bitne sustave
-
Windows 10 Verzija 1803 za sustave utemeljene na ARM64-u
-
Windows 10 Verzija 1803 za sustave utemeljene na ARM-u
Najčešća pitanja
Q. Nemam uređaj kompatibilan s provjerom autentičnosti Windows Hello licem ili nisam omogućio prepoznavanje lica Windows Hello. Moram li brinuti o ovoj slaboj točke?
A. Ne. Ta je slaba točka primjenjiva samo na korisnike koji imaju uređaj kompatibilan s aplikacijom Windows Hello Face i koji su se prijavili za provjeru autentičnosti prepoznavanja lica.
Q. Što učiniti da bih zaštitio korisnike od te slabe točke?
A. Preuzmite i instalirajte navedena ažuriranja.
Q. Moram li konfigurirati neobaveznu postavku registra da bih zaštitio svoje uređaje od te slabe točke?
A. Ako koristite samo internu ili ugrađenu kameru Windows Hello Face, ne morate dodavati neobaveznu vrijednost registra. No ako ste mobilni korisnik, vaš uređaj može biti u opasnosti da bude izgubljen ili ukraden. Stoga možete dodati neobaveznu vrijednost registra da biste spriječili korištenje vanjskih kamera Windows Hello ako koristite vanjsku kameru. Imajte na umu da će se svim vanjskim USB kamerama blokirati Windows Hello face nakon dodavanja vrijednosti registra. Korisnici mogu nastaviti koristiti vanjsku kameru s drugim aplikacijama kao što su Microsoft Teams.
Q. Može li se ta ranjivost daljinski iskoristiti?
A. Ne. Da biste iskoristili tu ranjivost, napadač mora imati puni fizički pristup uređaju žrtve.
Q. Moram li i dalje instalirati ovo ažuriranje ako uređaj podržava poboljšanu sigurnost prijave?
A. Poboljšana sigurnost prijave ublažava tu slabu točke, ali samo ako je značajka omogućena. Čak i ako uređaj ima potrebne hardverske i softverske komponente, i dalje vam je potrebno prethodno spomenuto ažuriranje ako značajka nije uključena. Bez obzira na to, i dalje biste trebali instalirati ovo ažuriranje da biste dobili druge sigurnosne popravke.
Q. Mogu li nastaviti koristiti Windows Hello prepoznavanje lica bez ažuriranja sustava?
A. Windows Hello prepoznavanje lica nastavit će funkcionirati čak i ako ne ažurirate sustav. Savjetujemo vam da ažurirate sustav, osobito ako ste korisnik za mobilne uređaje.
Q. Mogu li onemogućiti Windows Hello prepoznavanje lica i nastaviti koristiti Windows Hello otiskom prsta?
A. Da. Provjeru autentičnosti licem u programu Window Hello možete ukloniti u mogućnostima prijave>Windows Hello Face da biste isključili Windows Hello Face i nastavili koristiti Windows Hello Fingerprint.
