Santrauka
Šis saugos naujinimas išsprendžia Windows Hello atpažinimo apeiti "Windows 10" pažeidžiamumą, kuris leidžia pažeidėjas pakartoti vaizdą, kad būtų galima gauti prieigą prie sistemos. Šis apėjimas reikalauja fizinės prieigos visiškai turint vartotojo fizinį įrenginį, pasirinktinę aparatūrą ir specialų infraraudonųjų spindulių (IR) vaizdą.
Pažeidžiamumo informacija
2021–2007 m. kaupiamojo saugos naujinimo adresas CVE-2021-34466 ir buvo išleistas 2021 m. liepos 13 d.
Norint sėkmingai išnaudoti reikia šių būtinųjų sąlygų:
-
Vartotojas jau turi būti užregistruotas naudojant Windows Hello autentifikavimą.
-
Pažeidėjas turi fizinę prieigą prie aukos įrenginio.
-
Pažeidėjas turi auka infraraudonųjų spindulių vaizdų softcopies.
-
Pažeidėjas sukurkite pasirinktinį USB fotoaparato įrenginį, kuris imituoja Windows Hello veido kamerą. Pažeidėjas įkiša kenkėjišką kamerą į aukos įrenginį ir transliuoja vaizdo rėmelius, paminėtus 3 punkte.
Fixes & Mitigations
2021 m. liepos 13 d. "Microsoft" išleido šias pataisas, skirtas šiam pažeidžiamumui pataisyti:
-
KB5004237, skirta "Windows 10", 2004 m. versija, visi leidimai, "Windows 10", 20H2 versija, visi leidimai ir "Windows 10", 21H1 versija, visi leidimai
-
KB5004245 Windows 10 Enterprise, 1909, Windows 10 Enterprise and Education, 1909 ir Windows 10 IoT Enterprise, 1909 versija
-
KB5004244 2019 LTSC Windows 10 Enterprise 2019 LTSC Windows 10 IoT Enterprise 2019 LTSC
-
KB5004281, Windows 10 1803 versija (galima paprašius)
Sprendimo informacija
Šie saugos naujinimai įgyvendina apribojimus, kad tik patikimi fotoaparatai būtų leidžiami naudoti su Windows Hello autentifikavimu.
-
Esami Windows Hello autentifikavimo vartotojai – tai vartotojai, kurie užregistravo Windows Hello veido autentifikavimą prieš taikydami šį naujinimą. Windows paragins juos iš naujo autentifikuoti pin tik vieną kartą įdiegus šį naujinimą.
-
Nauji Windows Hello autentifikavimo vartotojai – tai vartotojai, kurie taiko šį naujinimą prieš užregistruodami "Windows Hello veido autentifikavimą. Windows automatiškai pasitikės fotoaparatu, naudojamu Windows Hello autentifikavimo registracijai.
Pasirinktinis konfigūravimas
Gerai sauga suprantami vartotojai taip pat gali konfigūruoti šią registro reikšmę, kad išjungtumėte visas išorines kameras, skirtas naudoti su "Windows Hello Face".
Reg Kelias: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Rakto pavadinimas: "ShouldForbidExternalCameras"
Reikšmė = 1
Tipas: DWORD
Patyrę vartotojai arba IT specialistai taip pat gali įtraukti aukščiau nurodytą registro reikšmę vykdydami šią komandą iš administratoriaus komandinės eilutės.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Atkreipkite dėmesį, kad konfigūruojant šią registro reikšmę nebus galima naudoti visų išorinių USB Windows Hello veido. Tačiau vartotojai gali toliau naudoti išorinę kamerą su kitomis programomis, pvz., Microsoft Teams.
Patobulinta prisijungimo sauga
Klientai, Windows Hello patobulinta prisijungimo sauga, yra apsaugoti nuo šio pažeidžiamumo. Patobulinta prisijungimo sauga yra nauja "Windows funkcija, kuri reikalauja specialios aparatūros, tvarkyklių ir programinės-aparatinės įrangos, kurią iš anksto įdiegė įrenginių gamintojai sistemoje. Kreipkitės į įrenginio gamintoją, kad sužinotumėte apie patobulintos prisijungimo saugos palaikymą jūsų įrenginyje.
Paveikta programinė įranga
Šis Windows 10 pažeidžiamumas turi įtakos toliau Windows 10 pagrindo sistemoms:
-
Windows 10 21H1 versija x64 pagrindo sistemoms
-
Windows 10 21H1 versija, skirta 32 bitų sistemoms
-
Windows 10 21H1 versija ARM64 pagrindo sistemoms
-
Windows 10 21H1 versija ARM pagrindo sistemoms
-
Windows 10 20H2 versija x64 pagrindo sistemoms
-
Windows 10 20H2 versija, skirta 32 bitų sistemoms
-
Windows 10 20H2 versija ARM64 pagrindo sistemoms
-
Windows 10 20H2 versija ARM pagrindo sistemoms
-
Windows 10 2004 versija, skirta x64 pagrindo sistemoms
-
Windows 10 2004 m. versija, skirta 32 bitų sistemoms
-
Windows 10 2004 m. versija, skirta ARM64 pagrindo sistemoms
-
Windows 10 2004 m. versija, skirta ARM pagrindo sistemoms
-
Windows 10 1909 versija, skirta x64 pagrindo sistemoms
-
Windows 10 1909 versija, skirta 32 bitų sistemoms
-
Windows 10 1909 versija, skirta ARM64 pagrindo sistemoms
-
Windows 10 1909 versija, skirta ARM pagrindo sistemoms
-
Windows 10 1809 versija, skirta x64 pagrindo sistemoms
-
Windows 10 1809 versija, skirta 32 bitų sistemoms
-
Windows 10 1809 versija, skirta ARM64 pagrindo sistemoms
-
Windows 10 1809 versija, skirta ARM pagrindo sistemoms
-
Windows 10 1803 versija, skirta x64 pagrindo sistemoms
-
Windows 10 1803 versija, skirta 32 bitų sistemoms
-
Windows 10 1803 versija, skirta ARM64 pagrindo sistemoms
-
Windows 10 1803 versija, skirta ARM pagrindo sistemoms
Dažnai užduodami klausimai
Q. Neturiu įrenginio, kuris būtų suderinamas su "Windows Hello veido autentifikavimu, arba neįjungiu veido atpažinimo Windows Hello. Ar turiu nerimauti dėl šio pažeidžiamumo?
A. Ne. Šis pažeidžiamumas taikomas tik tiems vartotojams, kurie turi įrenginį, suderinamą su "Windows Hello Face" ir užregistravę veido atpažinimo autentifikavimą.
Q. Ką turėčiau daryti, kad apsaugočiau savo vartotojus nuo šio pažeidžiamumo?
A. Atsisiųskite ir įdiekite anksčiau nurodytus naujinimus.
Q. Ar reikia konfigūruoti pasirenkamą registro parametrą, kad mano įrenginiai būtų apsaugoti nuo šio pažeidžiamumo?
A. Jei naudojate tik vidinę arba įtaisytinę "Windows Hello veido kamerą, nebūtina įtraukti pasirenkamos registro reikšmės. Tačiau, jei esate mobilusis vartotojas, gali kilti pavojus, kad įrenginys bus pamestas arba pavogtas. Todėl galite įtraukti pasirenkamą registro reikšmę, kad išvengtumėte išorinių vaizdo kamerų Windows Hello, jei naudojate išorinę kamerą. Atkreipkite dėmesį, kad įtraukus registro reikšmę, visi išoriniai USB fotoaparatai bus Windows Hello naudoti su "Windows Hello Face". Vartotojai gali toliau naudoti išorinę kamerą su kitomis programomis, pvz., Microsoft Teams.
Q. Ar šis pažeidžiamumas gali būti naudojamas nuotoliniu būdu?
A. Ne. Norėdami išnaudoti šį pažeidžiamumą, pažeidėjas turi turėti visišką fizinę prieigą prie aukos įrenginio.
K. Ar vis tiek reikia įdiegti šį naujinimą, jei mano įrenginys palaiko patobulintą prisijungimo saugą?
A. Patobulinta prisijungimo sauga sušvelnina šį pažeidžiamumą, bet tik jei ši funkcija įgalinta. Net jei įrenginys turi reikiamus aparatūros ir programinės įrangos komponentus, jums vis tiek reikia anksčiau paminėto naujinimo, jei ši funkcija neįjungta. Nepaisant to, vis tiek turėtumėte įdiegti šį naujinimą, kad gautumėte kitų saugos pataisų.
Q. Ar galiu toliau naudoti Windows Hello atpažinimą neatnaujindami savo sistemos?
A. Windows Hello veido atpažinimas veiks, net jei neatimsite sistemos. Primygtinai rekomenduojame atnaujinti sistemą, ypač jei esate mobilusis vartotojas.
K. Ar galiu išjungti Windows Hello atpažinimą ir toliau naudoti pirštų Windows Hello piršto atspaudą?
A. Taip. Galite pašalinti "Window Hello" veido autentifikavimą prisijungimo parinktyse >Windows Hello Face", kad išjungtumėte "Windows Hello Face" ir toliau naudosite "Window Hello Fingerprint".
