Зведення керівників
Це оновлення системи безпеки усуває Windows Hello вразливості до Windows 10, що дає зловмиснику змогу відтворити зображення для доступу до системи. Для цього потрібен фізичний доступ із повним доступом фізичного пристрою, настроюваного обладнання та спеціального інфрачервоного зображення.
Відомості про вразливість
Сукупний пакет оновлень системи безпеки (2021-07) – CVE-2021-34466, випущений 13 липня 2021 р.
Для успішної роботи експлойта необхідні такі передумови:
-
Користувач уже має бути зареєстрований у програмі Windows Hello face authentication.
-
Зловмисник має фізичний доступ до пристрою потерпілого.
-
Атака має м'які покриви інфрачервоних зображень.
-
Атака наносить спеціальний пристрій USB-камери, який імерує законну Windows Hello камери обличчя. Зловмисник підключає зловмисну камеру до пристрою потоком і розташовує потоком рамки зображення, згадані в три пункти.
Виправлення & пониження
13 липня 2021 року корпорація Майкрософт випустила такі виправлення для виправлення цієї вразливості:
-
KB5004237 для Windows 10 версії 2004, усі випуски, Windows 10, версія 20H2, усі випуски та Windows 10, версія 21H1, усі випуски
-
KB5004245 для Windows 10 Enterprise версії 1909, Windows 10 Enterprise and Education, версія 1909 і Windows 10 IoT Enterprise версії 1909
-
KB5004244 для Windows 10 Enterprise LTSC та Windows 10 IoT Enterprise LTSC 2019
-
KB5004281 для Windows 10 версії 1803 (доступно за запитом)
Відомості про вирішення
Ці оновлення системи безпеки впроваджують обмеження, щоб використовувати лише довірені камери з Windows Hello автентифікацією.
-
Наявні Windows Hello автентифікації. Це користувачі, які затвердили облікові Windows Hello автентифікації, перш ніж застосовувати це оновлення. Windows пропонувати їм повторно пройти автентифікацію за допомогою PIN-коду лише один раз після інсталяції цього оновлення.
-
Нові користувачі Windows Hello автентифікації обличчя – це користувачі, які застосовують це оновлення, перш ніж діяти в Windows Hello автентифікації. Windows автоматично довіряє камері, яка використовується для Windows Hello входу за обличчям.
Необов'язкова конфігурація
Користувачі з високою безпекою можуть також настроїти наведене нижче значення реєстру, щоб вимкнути всі зовнішні камери для використання з Windows Hello обличчям.
Шлях до реєстру: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Ім'я ключа: "ShouldForbidExternalCameras"
Значення = 1
Тип: DWORD
Досвідчені користувачі або IT-фахівці також можуть додати вище значення реєстру, виконавши наведену нижче команду в командному рядку адміністратора.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Зверніть увагу: якщо налаштувати це значення реєстру, усі зовнішні USB-камери не використовуватимуться разом із Windows Hello обличчям. Проте користувачі можуть і надалі використовувати зовнішню камеру з іншими програмами, наприклад Microsoft Teams.
Розширена безпека входу
Клієнти з Windows Hello посиленою безпекою входу захищені від цієї вразливості. Удосконалена система безпеки для входу – це нова функція безпеки Windows яка вимагає спеціалізованого обладнання, драйверів і мікропрограми, попередньо інстальованих у системі від виробників пристроїв. Зверніться до виробника пристрою, щоб дізнатися про підтримку посиленої безпеки входу на вашому пристрої.
Це програмне забезпечення, на яке впливає вплив
Ця вразливість впливає Windows 10 на такі системи на базі даних:
-
Windows 10 Версія 21H1 для систем на базі x64-процесорів
-
Windows 10 Версія 21H1 для 32-розрядних систем
-
Windows 10 Версія 21H1 для систем на базі ARM64
-
Windows 10 Версія 21H1 для систем на базі ARM
-
Windows 10 Версія 20H2 для систем на базі x64-процесорів
-
Windows 10 Версія 20H2 для 32-розрядних систем
-
Windows 10 Версія 20H2 для систем на базі ARM64
-
Windows 10 Версія 20H2 для систем на базі ARM
-
Windows 10 Версія 2004 для систем на базі x64-процесорів
-
Windows 10 Версія 2004 для 32-розрядних систем
-
Windows 10 Версія 2004 для систем на базі ARM64
-
Windows 10 Версія 2004 для систем на базі ARM
-
Windows 10 Версія 1909 для систем на базі x64-процесорів
-
Windows 10 Версія 1909 для 32-розрядних систем
-
Windows 10 Версія 1909 для систем на базі ARM64
-
Windows 10 Версія 1909 для систем на базі ARM
-
Windows 10 Версія 1809 для систем на базі x64-процесорів
-
Windows 10 Версія 1809 для 32-розрядних систем
-
Windows 10 Версія 1809 для систем на базі ARM64
-
Windows 10 Версія 1809 для систем на базі ARM
-
Windows 10 Версія 1803 для систем на базі x64-процесорів
-
Windows 10 Версія 1803 для 32-розрядних систем
-
Windows 10 Версія 1803 для систем на базі ARM64
-
Windows 10 Версія 1803 для систем на базі ARM
Запитання й відповіді
Q. У мене немає пристрою, сумісного з Windows Hello обличчям, або в мене не активовано розпізнавання обличчя за допомогою функції розпізнавання Windows Hello. Чи потрібно турбуватися про цей вразливість?
A. Ні. Ця вразливість застосовується лише до користувачів із пристроєм, сумісним із Windows Hello обличчям і автентифікацією обличчя.
Q. Як захистити користувачів від цієї вразливості?
A. Завантажте та інсталюйте наведені вище оновлення.
Q. Чи потрібно настроїти необов'язковий параметр реєстру, щоб захистити пристрої від цієї вразливості?
A. Якщо використовується лише внутрішня або вбудована камера Windows Hello обличчя, не потрібно вказувати необов'язкове значення реєстру. Однак якщо ви мобільний користувач, ваш пристрій може бути під загрозою втрати або крадіжки. Таким чином, можна додати необов'язкове значення реєстру, щоб запобігти використанню зовнішніх Windows Hello камер обличчя, якщо використовується зовнішня камера. Зверніть увагу, що після додавання значення реєстру всі зовнішні USB-камери буде заблоковано для Windows Hello камери. Користувачі можуть і надалі використовувати зовнішню камеру з іншими програмами, наприклад Microsoft Teams.
Q. Чи можна використовувати цей вразливість віддалено?
A. Ні. Щоб використовувати цей вразливість, зловмисник повинен мати повний фізичний доступ до пристрою похибки.
Запитання. Чи потрібно інсталювати це оновлення, якщо пристрій підтримує посилену безпеку входу?
A. Удосконалена безпека входу понижує цю вразливість, але лише якщо цю функцію ввімкнуто. Навіть якщо пристрій має необхідні апаратні та програмні компоненти, вам усе одно потрібне згадане вище оновлення, якщо функцію вимкнуто. Незалежно від того, інсталюйте це оновлення, щоб отримати інші виправлення системи безпеки.
Q. Чи можна й надалі використовувати розпізнавання Windows Hello, не оновлюючи систему?
A. Windows Hello розпізнавання обличчя й надалі працюватиме, навіть якщо ви не оновите систему. Ми дуже радимо оновити систему, особливо якщо ви мобільний користувач.
Запитання. Чи можна вимкнути Windows Hello обличчя та продовжувати використовувати функцію Windows Hello відбитків пальців?
A. Так. Ви можете видалити параметри автентифікації Window Hello face у вікні входу >Windows Hello Обличчя, щоб вимкнути функцію Windows Hello Обличчя та продовжити використовувати функцію Window Hello Fingerprint.
