Tóm tắt Điều hành
Bản cập nhật bảo mật này xử lý lỗ hổng bỏ qua nhận dạng khuôn mặt Windows Hello trong Windows 10 cho phép kẻ tấn công phát lại hình ảnh để truy nhập vào hệ thống. Loại bỏ máy chủ trung gian khỏi đường đi này yêu cầu quyền truy nhập vật lý hoàn toàn với thiết bị vật lý của người dùng, phần cứng tùy chỉnh và hình ảnh hồng ngoại chuyên biệt (IR).
Thông tin Lỗ hổng
Bản cập nhật bảo mật tích lũy 2021-07 địa chỉ CVE-2021-34466 và được phát hành vào 13/07/2021.
Khai thác thành công cần có các điều kiện tiên quyết sau đây:
-
Người dùng phải đăng ký xác thực bằng khuôn Windows Hello cao.
-
Kẻ tấn công có quyền truy cập vật lý vào thiết bị của nạn nhân.
-
Kẻ tấn công có hình ảnh hồng ngoại của kẻ tấn công.
-
Kẻ tấn công tạo thiết bị camera USB tùy chỉnh làm cho thiết bị làm cho máy ảnh khuôn mặt hợp Windows Hello của họ. Kẻ tấn công cắm camera độc hại vào thiết bị của nạn nhân và phát trực tuyến khung hình ảnh được đề cập trong mục ba.
Các bản & hạn chế
Vào ngày 13 tháng 7 năm 2021, Microsoft đã phát hành các bản sửa lỗi sau đây cho việc vá lỗi lỗ hổng này:
-
KB5004237 cho Windows 10, phiên bản 2004, tất cả các phiên bản, Windows 10, phiên bản 20H2, tất cả các phiên bản và Windows 10, phiên bản 21H1, tất cả các phiên bản
-
KB5004245 cho người Windows 10 Enterprise, phiên bản 1909, Windows 10 Enterprise và Education, phiên bản 1909 và Windows 10 IoT Enterprise, phiên bản 1909
-
KB5004244 dành cho Windows 10 Enterprise 2019 LTSC và Windows 10 IoT Enterprise 2019 LTSC
-
KB5004281 cho người Windows 10 1803 (Sẵn có theo yêu cầu)
Chi tiết về độ phân giải
Những cập nhật bảo mật này sẽ triển khai các hạn chế sao cho chỉ camera tin cậy mới được phép sử dụng với xác Windows Hello mặt xác thực.
-
Người dùng Windows Hello xác thực khuôn mặt hiện có – Đây là những người dùng đã đăng ký nhận Windows Hello mặt xác thực trước khi áp dụng bản cập nhật này. Windows sẽ nhắc họ xác thực lại chỉ bằng mã PIN một lần sau khi cài đặt bản cập nhật này.
-
Người dùng Windows Hello nhận khuôn mặt mới – Đây là những người dùng áp dụng bản cập nhật này trước khi đăng ký nhận Windows Hello bằng khuôn mặt xác thực. Windows tự động tin cậy camera được sử dụng để đăng Windows Hello đăng ký xác thực khuôn mặt.
Cấu hình tùy chọn
Người dùng có ý thức về bảo mật cao cũng có thể cấu hình giá trị sổ đăng ký sau đây để vô hiệu hóa tất cả camera bên ngoài để sử dụng với Windows Hello Face.
Đường dẫn Đăng ký: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Tên Khóa: "ShouldForbidExternalCameras"
Giá trị = 1
Loại: DWORD
Người dùng có kinh nghiệm hoặc chuyên gia CNTT cũng có thể thêm giá trị sổ đăng ký phía trên bằng cách chạy lệnh sau đây từ dấu nhắc lệnh của người quản trị.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Xin lưu ý rằng việc đặt cấu hình giá trị sổ đăng ký này sẽ ngăn tất cả camera USB bên ngoài sử dụng với Windows Hello Face. Tuy nhiên, người dùng có thể tiếp tục sử dụng camera bên ngoài với các ứng dụng khác chẳng hạn như Microsoft Teams.
Bảo mật đăng nhập nâng cao
Khách hàng có Windows Hello Bảo mật Đăng nhập Nâng cao được bảo vệ trước lỗ hổng này. Bảo mật Đăng nhập Nâng cao là một tính năng bảo mật mới trong Windows yêu cầu phần cứng, trình điều khiển và firmware chuyên biệt được cài đặt sẵn trên hệ thống bởi các nhà sản xuất thiết bị. Vui lòng liên hệ với nhà sản xuất thiết bị của bạn để tìm hiểu về hỗ trợ Bảo mật Đăng nhập Nâng cao trên thiết bị của bạn.
Phần mềm bị ảnh hưởng
Các hệ thống Windows 10 nền tảng sau đây bị ảnh hưởng bởi lỗ hổng này:
-
Windows 10 Phiên bản 21H1 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 21H1 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 21H1 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 21H1 cho Hệ thống dựa trên ARM
-
Windows 10 Phiên bản 20H2 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 20H2 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 20H2 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 20H2 cho Hệ thống dựa trên ARM
-
Windows 10 Phiên bản 2004 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 2004 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 2004 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 2004 cho Hệ thống dựa trên ARM
-
Windows 10 Phiên bản 1909 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 1909 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 1909 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 1909 cho Hệ thống dựa trên ARM
-
Windows 10 Phiên bản 1809 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 1809 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 1809 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 1809 cho Hệ thống dựa trên ARM
-
Windows 10 Phiên bản 1803 cho Hệ thống dựa trên x64
-
Windows 10 Phiên bản 1803 cho Hệ thống 32-bit
-
Windows 10 Phiên bản 1803 cho Hệ thống dựa trên ARM64
-
Windows 10 Phiên bản 1803 cho Hệ thống dựa trên ARM
Câu hỏi Thường Gặp
Q. Tôi không có thiết bị tương thích với xác thực khuôn mặt của Windows Hello hoặc tôi chưa bật nhận dạng khuôn mặt bằng tính năng nhận Windows Hello. Tôi có phải lo lắng về lỗ hổng này không?
A. Không. Lỗ hổng này chỉ áp dụng cho những người dùng có thiết bị tương thích với khuôn mặt của Windows Hello và đã đăng ký xác thực nhận dạng khuôn mặt.
Q. Tôi nên làm gì để bảo vệ người dùng của tôi khỏi lỗ hổng này?
A. Tải xuống và cài đặt các bản cập nhật ở trên.
Q. Tôi có cần cấu hình thiết đặt sổ đăng ký tùy chọn để bảo mật thiết bị của tôi khỏi lỗ hổng này không?
A. Nếu bạn chỉ sử dụng camera nội bộ Windows Hello tích hợp sẵn, bạn không cần thêm giá trị đăng ký tùy chọn. Tuy nhiên, nếu bạn là người dùng di động, thiết bị của bạn có thể có nguy cơ bị mất hoặc bị đánh cắp. Do đó, bạn có thể thêm giá trị đăng ký tùy chọn để ngăn việc sử dụng camera Windows Hello ngoài nếu bạn sử dụng camera bên ngoài. Xin lưu ý rằng tất cả camera USB bên ngoài sẽ bị chặn sử dụng với Windows Hello Face sau khi bạn thêm giá trị đăng ký. Người dùng có thể tiếp tục sử dụng camera bên ngoài với các ứng dụng khác chẳng hạn như máy Microsoft Teams.
Q. Lỗ hổng này có thể được khai thác từ xa không?
A. Không. Để khai thác lỗ hổng này, kẻ tấn công phải có quyền truy nhập vật lý hoàn toàn vào thiết bị của nạn nhân.
HỏiĐáp Tôi vẫn cần cài đặt bản cập nhật này nếu thiết bị của tôi có hỗ trợ Bảo mật Đăng nhập Nâng cao không?
A. Bảo mật Đăng nhập Nâng cao sẽ giảm thiểu lỗ hổng này nhưng chỉ khi bật tính năng này. Ngay cả khi thiết bị có các cấu phần phần cứng và phần mềm cần thiết, bạn vẫn cần cập nhật được đề cập đến ở trên nếu tính năng không được bật. Dù vậy, bạn vẫn nên cài đặt bản cập nhật này để nhận được các bản sửa lỗi bảo mật khác.
Q. Tôi có thể tiếp tục sử dụng tính năng nhận Windows Hello khuôn mặt mà không cần cập nhật hệ thống của mình không?
A. Windows Hello khuôn mặt của bạn sẽ tiếp tục hoạt động ngay cả khi bạn không cập nhật hệ thống. Chúng tôi khuyên bạn nên cập nhật hệ thống của mình, đặc biệt là khi bạn là người dùng di động.
HỏiĐáp Tôi có thể vô hiệu Windows Hello nhận dạng khuôn mặt của bạn và tiếp tục sử dụng dấu vân Windows Hello không?
A. Có. Bạn có thể loại bỏ xác thực khuôn mặt của Window Hello trong tùy chọn Đăng nhập>Windows Hello Face để tắt tính năng nhận Windows Hello Khuôn mặt và tiếp tục sử dụng tính năng Dấu vân tay của Window Hello.
