エグゼクティブの概要
このセキュリティ更新 Windows Helloプログラムは、Windows 10 の顔認識バイパスの脆弱性を解決します。これにより、攻撃者は画像を再生してシステムにアクセスできます。 このバイパスには、ユーザーの物理デバイス、カスタム ハードウェア、特殊な赤外線 (IR) イメージを完全に所有する物理的なアクセスが必要です。
脆弱性情報
2021-07 の累積的なセキュリティ更新プログラムは CVE-2021-34466 に適用され、2021 年 7 月 13 日にリリースされました。
悪用が成功するには、次の前提条件が必要です。
-
ユーザーは、顔認証に登録Windows Hello必要があります。
-
攻撃者は、被害を受け取ったデバイスに物理的にアクセスできます。
-
攻撃者は、被害を受け取った赤外線画像のコピーを持っています。
-
攻撃者は、Face カメラの正当なカメラを模倣するカスタム USB Windows Helloを作ります。 攻撃者は、悪意のあるカメラを攻撃者のデバイスに接続し、項目 3 で説明されている画像フレームをストリーミングします。
修正プログラム&軽減策
2021 年 7 月 13 日に、Microsoft は、この脆弱性に修正プログラムを適用するために次の修正プログラムをリリースしました。
-
KB5004237 (Windows 10、バージョン 2004、すべてのエディション、Windows 10、バージョン 20H2、すべてのエディション、および Windows 10、バージョン 21H1、すべてのエディション
-
KB5004245 (Windows 10 Enterprise、バージョン 1909、Windows 10 Enterprise and Education、バージョン 1909、Windows 10 IoT Enterprise バージョン 1909)
-
KB5004244 (2019 LTSC Windows 10 Enterprise 2019 LTSC および 2019 LTSC の場合Windows 10 IoT Enterprise KB5004244
-
KB5004281 (Windows 10 バージョン 1803 ) (要求に応じて利用可能)
解決策の詳細
これらのセキュリティ更新プログラムでは、顔認証で使用できるカメラのみを信頼できるカメラWindows Hello実装します。
-
顔認証Windows Hello既存のユーザー – この更新プログラムを適用する前に、Windows Hello認証に登録したユーザーです。 Windows更新プログラムをインストールした後、PIN で再認証を求めるメッセージが 1 回だけ表示されます。
-
新Windows Hello顔認証ユーザー – 顔認証に登録する前にこの更新プログラムWindows Helloユーザーです。 Windows顔認証登録に使用されるカメラWindows Hello信頼します。
オプションの構成
セキュリティに配慮したユーザーは、Face で使用するためにすべての外部カメラを無効にするために、次のレジストリ値Windows Helloできます。
Reg Path: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
キー名: "ShouldForbidExternalCameras"
値 = 1
型: DWORD
経験豊富なユーザーまたは IT プロフェッショナルは、管理者コマンド プロンプトから次のコマンドを実行して、上記のレジストリ値を追加することもできます。
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
このレジストリ値を構成すると、すべての外部 USB カメラが Face で使用Windows Hello注意してください。 ただし、ユーザーは、外部カメラなどの他のアプリケーションで引き続きMicrosoft Teams。
拡張されたサインイン セキュリティ
この脆弱性Windows Helloセキュリティ強化のお客様は保護されます。 拡張サインイン セキュリティは Windows の新しいセキュリティ機能であり、デバイスの製造元によってシステムにプレインストールされている特殊なハードウェア、ドライバー、ファームウェアが必要です。 デバイスでの拡張サインイン セキュリティのサポートについては、デバイスの製造元にお問い合わせください。
影響を受けるソフトウェア
この脆弱性Windows 10の影響を受けるのは、次のシナリオに基づくシステムです。
-
Windows 10x64 ベース システム用のバージョン 21H1
-
Windows 1032 ビット システムのバージョン 21H1
-
Windows 10ARM64 ベース システム用のバージョン 21H1
-
Windows 10ARM ベース システム用のバージョン 21H1
-
Windows 10x64 ベース システム用のバージョン 20H2
-
Windows 1032 ビット システムのバージョン 20H2
-
Windows 10ARM64 ベース システム用のバージョン 20H2
-
Windows 10バージョン 20H2 (ARM ベース システム)
-
Windows 10x64 ベース システム用のバージョン 2004
-
Windows 1032 ビット システム用バージョン 2004
-
Windows 10ARM64 ベース システム用のバージョン 2004
-
Windows 10ARM ベース システムのバージョン 2004
-
Windows 10x64 ベース システム用のバージョン 1909
-
Windows 1032 ビット システム用のバージョン 1909
-
Windows 10ARM64 ベース システム用のバージョン 1909
-
Windows 10ARM ベース システムのバージョン 1909
-
Windows 10x64 ベース システム用のバージョン 1809
-
Windows 1032 ビット システム用のバージョン 1809
-
Windows 10ARM64 ベース システム用のバージョン 1809
-
Windows 10ARM ベース システムのバージョン 1809
-
Windows 10x64 ベース システム用のバージョン 1803
-
Windows 1032 ビット システム用のバージョン 1803
-
Windows 10ARM64 ベース システム用のバージョン 1803
-
Windows 10ARM ベース システム用のバージョン 1803
よく寄せられる質問
Q. 顔認証と互換性のあるデバイスがないWindows Hello、顔認識を有効にWindows Hello。 この脆弱性について心配する必要はありますか?
A. いいえ。 この脆弱性は、Windows Hello Face と互換性があり、顔認識認証に登録されているデバイスを持っているユーザーにのみ適用されます。
Q. この脆弱性からユーザーを保護するには、どのような操作を行う必要がありますか。
A. 上記の更新プログラムをダウンロードしてインストールします。
Q. この脆弱性からデバイスを保護するために、オプションのレジストリ設定を構成する必要がありますか?
A. Face カメラの内部または組み込みWindows Helloのみを使用する場合は、オプションのレジストリ値を追加する必要があります。 ただし、モバイル ユーザーの場合、デバイスが紛失または盗難の危険にさらされる可能性があります。 そのため、オプションのレジストリ値を追加して、外部カメラを使用している場合Windows Helloの外部カメラが使用されるのを防ぐことが可能です。 レジストリ値を追加すると、Face ですべての外部 USB カメラWindows Hello使用できません。 ユーザーは、外部カメラなどの他のアプリケーションで引き続きMicrosoft Teams。
Q. この脆弱性はリモートから悪用できますか。
A. いいえ。 この脆弱性を悪用するには、攻撃者は、攻撃を受け取ったデバイスに完全に物理的にアクセスできる必要があります。
Q. デバイスで拡張サインイン セキュリティがサポートされている場合でも、この更新プログラムをインストールする必要がありますか。
A. 拡張サインイン セキュリティは、この機能が有効になっている場合にのみ、この脆弱性を軽減します。 デバイスに必要なハードウェアおよびソフトウェア コンポーネントがある場合でも、この機能が有効ではない場合は、上記の更新プログラムが必要です。 その他のセキュリティ修正プログラムを取得するには、引き続きこの更新プログラムをインストールする必要があります。
Q. システムを更新せずに顔認識Windows Helloを引き続き使用できますか?
A. Windows Helloシステムを更新しない場合でも、顔認識は引き続き機能します。 特にモバイル ユーザーの場合は、システムを更新することを強くお勧めしています。
Q. 顔認識をWindows Helloし、指紋認証を引き続きWindows Helloできますか?
A. はい。 [サインイン] オプションで Window Hello face 認証を削除>Windows Hello Face をオフWindows Helloし、引き続き Window Hello Fingerprint を使用できます。
