簡介
我們了解可用於存取卸除式裝置上檔案的詳細資訊和工具。 這些工具可以略過 Microsoft Windows 非伺服器發行版本上的 NTFS 檔案權限。 我們已知此問題可能會影響內部磁碟、標示為抽取式磁碟，以及例如 USB、Firewire、E-SATA、SD 和其他抽取式媒體的外部媒體。 我們留意到某些儲存體控制器上的磁碟可能會被標記為「可卸除式」的情況，無論電腦機殼內部或外部的實體位置為何，也無論磁碟使用的連線類型為何。
此問題不會影響主要系統磁碟區 (，也就是目前執行 Windows 的裝置，) 。
在預設設定中受到影響的系統主要面臨風險。 例如，這包括運行 Windows Vista、Windows 7 和 Windows 8 的系統多個磁碟。
更多資訊
如何判斷您的環境是否受到影響
- 開啟提升權限的命令提示字元視窗。 若要這麼做，請按一下 [ 開始]，輸入 CMD，然後以滑鼠右鍵按一下 [Cmd.exe]，然後按一下 [以 系統管理員身分執行]。
- 在提升權限的命令提示字元中輸入下列命令，然後按下 Enter：
Powershell - 在 Windows PowerShell 提示中輸入下列命令：
Get-WmiObject -Class Win32_DiskDrive |Format-Table 名稱、型號、MediaType
此指令碼將傳回類似下列的輸出：
| Name (名稱) | 型號 | MediaType |
|---|---|---|
| \\.\PHYSICALDRIVE0 | ST31000528AS | 固定硬碟媒體 |
| \\.\PHYSICALDRIVE3 | WD Ext HDD 1021 USB 裝置 | 外部硬碟媒體 |
| \\.\PHYSICALDRIVE4 | Corsair Voyager 3.0 USB 裝置 | 抽取式媒體 |
如果傳回的 MediaType 是「抽取式媒體」或「外部硬碟媒體」，則設定會受到本文所述問題的影響。
解決方式
對於想要保留標示為「卸除式」次要磁碟的作業系統層級磁碟權限的客戶，建議客戶執行下列其中一個強化步驟：
- 啟用 Microsoft Bitlocker (建議的) 。
- 啟用抽 取式裝置或媒體的讀取和寫入存取控制項。
啟用對卸除式裝置或媒體的讀取和寫入存取權控制項
若要啟用抽取式裝置或媒體的讀取和寫入存取控制，請遵循下列步驟：
- 按 Windows 鍵和 R 以開啟 [執行] 功能表。
- 輸入 MMC.exe，然後按下 Enter。
- 在 [檔案] 功能表上，按一下 [新增-移除嵌入式管理單元] (CTRL+M) ，然後選取 [群組原則物件編輯器]。 按一下 [確定]。
- 按一下 [瀏覽]，按一下 [使用者] 索引標籤，然後按兩下 [非系統管理員]。
- 按一下「完成」，然後按一下「確定」。
- 在 [瀏覽窗格] 中，依序展開 [本機電腦\非系統管理員原則]、[ 使用者設定]、[系統 管理範本]、[ 系統]，然後按一下 [卸除式儲存空間存取權]。
- 按兩下 [ 所有抽取式儲存類別：拒絕所有存取]，然後按一下以選取 [ 啟用] 選項。
- 按一下 [套用]，然後按一下 [確定]。
如果您無法執行這些強化步驟，建議您不要將敏感性資訊儲存在受影響的磁碟或裝置上。 例如，請勿將個人或驗證資訊儲存在不同使用者共用工作站或檔案系統的任何備份的地方。 如需詳細資訊，請與您的磁碟控制器硬體廠商連絡。
自動化的 Microsoft Fix It 解決方案可用來自動設定系統，以停止對卸除式裝置的讀取和寫入存取。
要讓我們為您修正此問題，請轉到「為我修正」部分。
修正此問題
適用於 Windows 7 或 Windows 8 的修正解決方案
若要啟用或停用此修正解決方案，請按一下 [啟用] 標題或 [停用] 標題底下的 [修正] 按鈕或連結。 按一下 [檔案下載] 對話方塊中的 [執行]，然後依照 [修正] 精靈中的步驟執行。
| [啟用] | Disable |
|---|
適用於 Windows Vista 的修正解決方案
若要啟用或停用此修正解決方案，請按一下 [啟用] 標題或 [停用] 標題底下的 [修正] 按鈕或連結。 按一下 [檔案下載] 對話方塊中的 [執行]，然後依照 [修正] 精靈中的步驟執行。
| [啟用] | Disable |
|---|
記事
- 這些精靈可能只提供英文版本。 不過，自動修正程式也適用於 Windows 的其他語言版本。
- 如果您不在發生問題的電腦上，可以將自動修正程式儲存至快閃磁碟機或 CD，然後在發生問題的電腦上加以執行。
常見問題集
為什麼 Windows 對不同類型的儲存媒體有不同的安全性原則？
Windows 支援許多存放裝置，從傳統的固定磁碟（例如硬碟和固態磁碟機）到抽取式磁碟（例如 SD 記憶卡和 USB 隨身碟）。 支援許多存放裝置使客戶能夠將 Windows 與 Windows 相容硬體的豐富生態系統用於許多案例。 這包括相機、手機等消費性設備。 Windows 在部署 Windows 的所有不同環境中，從家用到小型企業到企業，為所有這些案例和裝置提供了絕佳的端對端體驗。設計 Windows 以支援這些不同的案例需要瞭解與每個案例相關的各種需求和優先順序。 其中包括一系列考慮因素，例如易用性、安全性、可管理性和其他功能。 因此，從安全角度來看，管理特定類別儲存裝置的方式存在差異。 這反映出許多因素。 這包括裝置的使用環境 (例如主要在家用與企業環境中) ，以及裝置是否將在不同裝置之間使用。 其中包括非 Windows 型裝置。
造成此問題的原因為何？
安全性原則的主要差異在於傳統固定磁碟與卸除式磁碟。根據預設，儲存在傳統硬碟上的資料受到系統存取控制清單 (ACL 限制，) 需要較高的系統管理權限。 這可在不同環境中提供適當的安全性層級。 這允許單一使用者系統和多使用者系統。 在大多數電腦中，硬碟是作業系統等重要資料的所在位置，而 ACL 需要較高的系統管理認證才能存取這些資料。 Windows 提供不同的可管理性工具，如有必要，讓您能夠以更詳細的方式控制此原則。 這包括 Bitlocker、群組原則及其他 ACL。 在硬碟上，非管理使用者無法執行磁碟區層級工具，例如 format 或對檔案系統內容具有直接的區塊層級存取權。
相比之下，可移動媒體基本上設計用於在不同設備之間傳輸。 其中包括消費者電子裝置和非 Windows 型裝置，例如相機和行動電話。 根據預設，存取儲存在卸除式媒體上的資料不需要較高的系統管理權限。 這些設備通常與消費性電子設備相關聯。 您必須確保這些裝置上的資料易於存取且易於管理。 例如，如果卸除式裝置上的檔案系統損毀，任何使用者都可以執行 chkdsk 並嘗試修復損毀。 在額外安全性優先的環境中，客戶可以實作其他控制項，以防止存取抽取式媒體，或要求加密所有抽取式媒體。 這會限制使用抽取式媒體做為安全性需求的一部分。
如何？判斷我的設定是否易受攻擊？
使用者可以使用桌面通知區域中的 [安全移除硬體] 快速存取圖示，來判斷其環境中是否有卸除式裝置。 如果裝置列在此功能表中，即表示該裝置已標示為「可移除式」。使用者也可以存取 [控制台] 中的卸除式裝置清單。 例如，開啟 [所有控制台項目]，開啟 [裝置和印表機]，然後按一下 [裝置] 索引標籤。
如需有關如何使用 Windows PowerShell 判斷您的設定是否易受攻擊的詳細資訊，請參閱「如何判斷您的環境是否受到影響」一節。
哪些 Windows 作業系統會在預設設定中受到影響？
Windows Vista、Windows 7 和 Windows 8 會在預設設定中受到影響。透過群組原則強制執行讀取和寫入存取卸除式媒體的潛在風險為何？
透過群組原則限制對抽取式存放裝置的存取可能會導致某些應用程式開始失敗或需要較高的權限。 例如，您的備份軟體可能無法執行卸除式裝置的備份。 同樣地，任何檢查磁碟 (chkdsk) 或格式化磁碟類型的活動都需要系統管理權限。 這可能會造成磁碟管理和操作軟體在受限執行模式中失敗。Bitlocker 有哪些潛在風險？
Bitlocker 是使用卸除式裝置進行資料安全性的建議解決方案。 使用 Bitlocker 在加密和解密資料時，會導致效能略有降低。攻擊者可能會利用弱點進行哪些作業？
具有非系統管理存取權的攻擊者無論是否為本機系統管理員，都可以讀取或寫入磁碟。 攻擊者可以任意讀取和寫入存取裝置和檔案系統。 這可能會導致有針對性的資訊揭露。
鳴謝
- 喬治·格奧爾基耶夫·瓦爾科夫 （George Georgiev Valkov） 在這個問題上與我們合作。