簡介
我們知道有詳細的資訊和工具可以用來存取可移動裝置上的檔案。 這些工具可以繞過 Microsoft Windows 非伺服器發行版上的 NTFS 檔案權限。 我們知道此問題可能影響內部硬碟、標示為可移除的固定磁碟，以及外部媒體，如 USB、Firewire、E-SATA、SD 及其他可移除媒體。 我們知道某些儲存控制器上的磁碟可能被標記為「可移除」，無論硬碟在機殼內外的物理位置，或是硬碟所使用的連接方式。
這個問題不會影響主要系統磁碟區 (也就是 Windows 目前運行的裝置) 。
預設配置受影響的系統主要面臨風險。 例如，這包括多顆運行 Windows Vista、Windows 7 和 Windows 8 的硬碟。
更多資訊
如何判斷你的環境是否受到影響
- 開啟提升權限的命令提示字元視窗。 操作方法是點選 開始，輸入 CMD，右鍵點擊 Cmd.exe，然後點擊 以管理員身份執行。
- 在升高的命令提示字元輸入以下指令，然後按下 Enter 鍵：
Powershell - 請在 Windows PowerShell 提示字元輸入以下指令：
Get-WmiObject -Win32_DiskDrive |Format-Table 名稱、型號、媒體類型
此腳本回傳的輸出將類似以下內容：
| Name (名稱) | 型號 | 媒體類型 |
|---|---|---|
| \\.\PHYSICALDRIVE0 | ST31000528AS | 固定硬碟媒介 |
| \\.\PHYSICALDRIVE3 | WD Ext HDD 1021 USB 裝置 | 外接硬碟媒介 |
| \\.\PHYSICALDRIVE4 | Corsair Voyager 3.0 USB 裝置 | 可移除媒體 |
如果回傳的 MediaType 是「可移除媒體」或「外接硬碟媒體」，則該設定會受到本文所述問題的影響。
解決方式
我們建議希望保留次要磁碟作業系統層級磁碟權限的客戶，若標示為「可移除」，請執行以下硬化步驟之一：
- 啟用 Microsoft Bitlocker (推薦) 。
- 啟用可 移除裝置或媒體的讀寫控制。
啟用可移除裝置或媒體的讀寫控制
為了啟用可移除裝置或媒體的讀寫存取控制，請依照以下步驟操作：
- 按 Windows 鍵和 R 鍵開啟 執行 選單。
- 輸入 MMC.exe，然後按下 Enter。
- 在檔案選單中，點擊 CTRL+M) (新增-移除 Snap-in，然後選擇物件編輯器群組原則。 按一下 [確定]。
- 點選 瀏覽，點選 使用者 標籤，然後雙擊 「非管理員」。
- 按一下「完成」，然後按一下「確定」。
- 在導覽窗格中，展開「 本地電腦/非管理員政策」，「 使用者設定」，「 管理員範本」，「 系統」，然後點選 「可移除儲存存取」。
- 雙擊 「所有可移除儲存類別：拒絕所有存取」，然後點選「 啟用 」選項。
- 按一下 [套用]，然後按一下 [確定]。
若無法執行這些強化步驟，我們建議您不要將敏感資訊儲存在受影響的磁碟或裝置上。 例如，當不同使用者共用工作站或檔案系統備份時，不要儲存個人或認證資訊。 如需更多資訊，請聯繫磁碟控制器硬體製造商。
Microsoft 自動化的 Fix It 解決方案可自動設定系統，禁止對可移除裝置進行讀寫存取。
想讓我們幫你解決這個問題，請到「幫我解決」區塊。
修正此問題
Windows 7 或 Windows 8 的解決方案
要啟用或停用此修正解決方案，請點擊「 修正」 按鈕或「 啟用 」標題下方的連結，或「 停用 」標題下。 在檔案下載對話框中點選執行，然後依照修正精靈的步驟操作。
| [啟用] | Disable |
|---|
Windows Vista 的修正解決方案
要啟用或停用此修正解決方案，請點擊「 修正」 按鈕或「 啟用 」標題下方的連結，或「 停用 」標題下。 在檔案下載對話框中點選執行，然後依照修正精靈的步驟操作。
| [啟用] | Disable |
|---|
記事
- 這些巫師可能只提供英文。 然而，這些自動修正同樣適用於其他語言版本的 Windows。
- 如果你不在有問題的電腦上，可以把自動修復的程式存到隨身碟或光碟裡，然後在有問題的電腦上執行。
常見問題集
為什麼 Windows 對不同類型的儲存媒體有不同的安全政策？
Windows 支援多種儲存裝置，從傳統的固定硬碟，如硬碟和固態硬碟，到可拆卸磁碟，如 SD 卡和 USB 隨身碟。 支援多種儲存裝置，讓客戶能在多種情境下使用 Windows，並結合豐富的 Windows 相容硬體生態系。 這包括相機、手機等消費性裝置。 Windows 為所有這些場景與裝置提供優秀的端對端體驗，涵蓋 Windows 部署的各種環境，從家庭、小型企業到企業皆適用。設計 Windows 以支援這些不同情境，需要了解每種情境所帶來的各種需求與優先事項。 這些因素包括易用性、安全性、可管理性及其他特性等多項考量。 因此，從安全角度來看，特定類別的儲存裝置管理方式有所不同。 這反映了許多因素。 這些包括裝置使用的環境 (例如主要在家庭環境與企業環境) 以及裝置是否會在不同裝置間使用。 這些裝置包括非 Windows 系統的裝置。
這個問題是什麼原因造成的？
安全政策的主要差異在於傳統固定磁碟與可移動磁碟之間的差異。預設情況下，系統存取控制清單 (AC) L 限制存取，需提升管理權限。 這在不同環境中提供適當的安全等級。 這允許單用戶系統與多用戶系統皆可使用。 在大多數個人電腦中，硬碟是重要資料（如作業系統）所在的位置，而 ACL 需要提升的管理憑證才能存取這些資料。 Windows 提供不同的可管理工具，以便在必要時以更詳細的方式控制此政策。 這包括 Bitlocker、群組原則以及額外的 ACL。 在硬碟上，非管理員使用者無法執行卷級工具，如格式化，也無法直接存取檔案系統內容。
相較之下，可拆卸媒體基本上是設計用來在不同裝置間傳輸。 這些包括消費性電子產品以及非Windows系統的裝置，如相機和手機。 預設情況下，存取儲存在可移除媒體上的資料不需要提升的管理員權限。 這些裝置通常與消費性電子產品相關聯。 您必須確保這些裝置上的資料易於存取且易於管理。 例如，如果可移除裝置的檔案系統損壞，任何使用者都可以執行 chkdsk 嘗試修復損壞。 在重視額外安全性的環境中，客戶可實施額外控制措施，阻止存取可移除媒體或要求所有可移除媒體加密。 這限制了作為安全要求的一部分使用可移除媒體。
如何？判斷我的設定是否有漏洞？
使用者可透過桌面通知區的「安全移除硬體」快速存取圖示，判斷環境中是否有可移除裝置。 如果裝置出現在這個選單中，表示該裝置被標記為「可移除」。使用者也可以在控制台中存取可移除裝置清單。 例如，打開所有控制台項目，打開裝置與印表機，然後點選裝置標籤。
請參閱「如何判斷你的環境是否受影響」章節，了解如何使用 Windows PowerShell 來判斷你的設定是否存在漏洞。
哪些 Windows 作業系統在預設設定中會受到影響？
Windows Vista、Windows 7 和 Windows 8 在預設設定下會受到影響。透過群組原則強制執行可移除媒體的讀寫存取可能有哪些風險？
透過群組原則限制對可移除儲存裝置的存取，可能會導致某些應用程式開始失敗或需要提升權限。 例如，你的備份軟體可能無法對可移除裝置進行備份。 同樣地，任何檢查磁碟 (chkdsk) 或格式化磁碟的活動都需要管理員權限。 這可能導致磁碟管理與操作軟體在受限執行模式下失效。Bitlocker 有哪些潛在風險？
Bitlocker 是可拆卸裝置的資料安全推薦解決方案。 使用 Bitlocker 在加密和解密資料時會造成輕微的效能下降。攻擊者可能會利用這個漏洞做什麼？
擁有非管理權限的攻擊者無論是否為本地管理員，都能讀寫磁碟。 攻擊者將擁有對裝置和檔案系統的任意讀寫權限。 這可能導致針對性的資訊揭露。
致謝
Microsoft 感謝 以下人士與我們合作，協助保護客戶：
- 感謝喬治·喬治耶夫·瓦爾科夫與我們合作處理此議題。