En gruppe forskere har nylig belyst en sårbarhet der spørsmål for passordgjenoppretting kan utnyttes for å få uautorisert tilgang til Windows 10-datamaskiner. Dette har ført til at enkelte har foreslått å deaktivere denne funksjonen. Imidlertid er det ikke nødvendig for vanlige hjemmebrukere å ta dette skrittet.
Hva er det som egentlig foregår?
Som Ars Technica først rapporterte, har Windows 10 introdusert muligheten til å bruke sikkerhetsspørsmål for å gjenopprette passord for lokale brukerkontoer. Sikkerhetseksperter undersøkte dette nærmere og oppdaget at dette kan utgjøre en potensiell sikkerhetsrisiko i forretningsnettverk.
Det er to viktige punkter å merke seg:
For det første er denne sårbarheten primært relevant for datamaskiner som er koblet til et domenenettverk, det vil si den typen nettverk som finnes i en bedriftsstruktur med administrerte enheter. For det andre er sårbarheten knyttet til lokale brukerkontoer. Dette er viktig fordi datamaskiner som er en del av et domene normalt bruker sentraliserte domenebrukerkontoer i stedet for lokale. Sikkerhetsspørsmål er som standard ikke aktivert for domenekontoer.
Det finnes også et tredje, enda mer avgjørende punkt. Hele scenarioet forutsetter at en angriper først har skaffet seg administratorrettigheter på nettverket. Med den tilgangen kan de identifisere datamaskiner som fortsatt bruker lokale kontoer, og deretter legge til sikkerhetsspørsmål til disse kontoene.
Hvorfor skulle dette være et problem?
Tankegangen er at dersom administratorer oppdager og fjerner angriperens tilgang, og deretter endrer alle passord, vil angriperen i teorien kunne komme tilbake til nettverket via disse maskinene. De kan bruke sine egendefinerte sikkerhetsspørsmål for å tilbakestille passordene og dermed få full tilgang igjen.
Forskerne antydet at angripere også kunne benytte seg av et hash-verktøy for å finne det tidligere passordet og deretter gjenopprette det gamle passordet for å skjule deres ulovlige tilgang. Problemet med denne ideen er at de fleste domenenettverk som standard ikke tillater at passord gjenbrukes.
Microsofts svar på Ars Technicas henvendelse var kort og presist:
Den beskrevne metoden krever allerede at en angriper har administratorrettigheter.
Selv om dette kan virke overfladisk i første omgang, understreker Microsoft et viktig poeng. Når en ondsinnede aktør har oppnådd administrativ tilgang til et nettverk, går de potensielle skadene og angrepsveiene langt utover enkel passordtilbakestilling. Hvis et nettverk er godt nok sikret til å hindre angriperen i å oppnå administratornivå, blir hele denne problemstillingen irrelevant.
For å oppsummere, en angriper må oppnå administratorrettigheter i et bedriftsnettverk som bruker Windows-domene, identifisere datamaskiner som kan ha lokale kontoer, og deretter konfigurere sikkerhetsspørsmål for å kunne gjenoppta tilgangen dersom de blir oppdaget og sperret ute. Og dette skal altså bekymre oss, til tross for at administratorrettighetene i seg selv gir dem tilgang til å gjøre langt større skade.
Betyr dette noe for meg?
Dersom du bruker en Windows 10-datamaskin hjemme, er svaret sannsynligvis nei. Her er hvorfor:
Hjemme-PC-en din er mest sannsynlig ikke koblet til et domene. Selv om den var det, må du bruke en lokal konto, men de fleste Windows 10-brukere velger å logge på med en Microsoft-konto. Dette er fordi Windows 10 krever at du bruker en Microsoft-konto for at mange funksjoner skal fungere som de skal. Selv om det er mulig å opprette en lokal konto, er det ikke det mest åpenbare valget. Hvis du bruker en Microsoft-konto, har du ikke mulighet til å benytte deg av sikkerhetsspørsmål for passordgjenoppretting. For at noen skal kunne utnytte denne sårbarheten, må de enten ha fysisk eller ekstern tilgang til din PC. Med den type tilgang er passordgjenoppretting via sikkerhetsspørsmål det minste problemet.
Sannsynligheten for at denne forskningen er relevant for deg, er derfor svært liten. Men selv om du bruker en lokal konto i et domene, koker det hele ned til et grunnleggende spørsmål: Hvor mye bekvemmelighet er du villig til å ofre for sikkerhet, og omvendt? I dette tilfellet er risikoen for at en angriper vil få tilgang til din datamaskin og bruke sikkerhetsspørsmål til å ta full kontroll, ekstremt lav. Derimot er risikoen for at du glemmer passordet ditt og trenger sikkerhetsspørsmålene litt høyere. Vurder situasjonen din nøye og ta det valget som passer best for deg.