לא, אינך צריך להשבית שאלות לשחזור סיסמה ב- Windows 10

תוכן ללא הכנסה

לאחרונה קבוצה של חוקרים תיארה תרחיש שבו נעשה שימוש בשאלות לשחזור סיסמאות כדי לפרוץ מחשבי Windows 10. זה הוביל לכך שהיו שמציעים להשבית את התכונה. אך אינך צריך לעשות זאת אם אתה משתמש במחשב ביתי.

אז מה קורה כאן?

כפי ש ארס טכניקה מדווח לראשונה, Windows 10 הוסיפה אפשרות להגדיר שאלות לשחזור סיסמה בחשבונות מקומיים בשנה האחרונה. חוקרי אבטחה התעמקו בכך וגילו כי ברשת עסקית הדבר עלול להוביל לפגיעות פוטנציאלית.

ממש מחוץ למחבט תוכלו לזהות שם שתי נקודות חשובות:

• ראשית, התרחיש כולו מסתמך על מחשבים המחוברים לרשת דומיין - מהסוג שתמצא ברשת עסקית עם מחשבים מנוהלים.
• שנית, הפגיעות חלה על חשבונות מקומיים. זה מעניין במיוחד מכיוון שאם המחשב האישי שלך הוא חלק מדומיין, כמעט בוודאות אתה משתמש בחשבון משתמש דומיין מרכזי ולא בחשבון מקומי. ושאלות אבטחה אינן מורשות בחשבונות דומיינים כברירת מחדל.

יש גם נקודה שלישית שחשובה עוד יותר. כל זה מחייב את השחקן הזדוני קודם לקבל גישה ברמת מנהל ברשת. משם, הם יוכלו לזהות מכונות המחוברות לרשת שעדיין יש להם חשבונות מקומיים ואז להוסיף שאלות אבטחה לחשבונות אלה.

למה לטרוח?

הרעיון הוא שאם מנהלים יגלו ויבטלו את גישתו של השחקן הזדוני, וישנו את כל הסיסמאות לאחר מכן, השחקן יכול, בתיאוריה, לחזור לרשת למכונות אלה ולהשתמש בשאלות המותאמות אישית שלהם כדי לאפס סיסמאות אלה ולהשיב גישה מלאה. .

החוקרים הציעו שהם יכולים להשתמש גם בכלי גיבוב לקביעת הסיסמה הקודמת, ואז להחזיר את הסיסמה הישנה כדי להסתיר את הגישה שלהם. הבעיה כאן היא שרוב רשתות הדומיינים אינן מאפשרות סיסמאות בשימוש חוזר כברירת מחדל.

כאשר ארס טכניקה ביקשה ממיקרוסופט תגובה, התגובה הייתה קצרה:

הטכניקה המתוארת מחייבת שתוקף כבר מחזיק בגישת מנהל

אמנם זה עשוי להיראות עמום בהתחלה, אך מה שמציעה מיקרוסופט צודק וזה מביא אותנו לעיקר העניין האמיתי. ברגע שלשחקן זדוני יש גישה ברמה הניהולית ברשת, הנזק הפוטנציאלי ואפשרויות ההתקפה הם הרבה מעבר לטריקים פשוטים לאיפוס סיסמה. ואם רשת חזקה מספיק בכדי למנוע מהשחקן הזדוני אי פעם להשיג רמה מנהלית, כל זה הוא קליל.

לכן, בסופו של דבר, התוקף הזדוני שלנו יצטרך להשיג גישה ברמת מנהל לרשת עסקית המשתמשת בתחום של Windows, למצוא מחשבים שעשויים להיות בהם חשבונות מקומיים ואז ליצור שאלות אבטחה כדי שיוכלו לחזור לאלה. מחשבים אם הם מתגלים וננעלים. ואנחנו אמורים להיות מודאגים מכך כאשר הגישה שלהם ברמת מנהל המערכת נותנת להם את היכולת כבר להזיק הרבה יותר.

הבנת. אז האם זה חל עלי?

אם אתה משתמש במחשב Windows 10 בבית, התשובה הקצרה היא כמעט ללא ספק. והנה הסיבה:

• סביר להניח שהמחשב הביתי שלך אינו מחובר לדומיין.
• גם אם זה היה, היית צריך להשתמש בחשבון מקומי ורוב האנשים ב- Windows 10 משתמשים כנראה בחשבון Microsoft כדי להיכנס. הסיבה לכך היא ש- Windows 10 דורש להשתמש בחשבון Microsoft עבור תכונות רבות כדי לעבוד נכון . ובעוד אתה יכול לנקוט כמה צעדים נוספים כדי ליצור חשבון מקומי במקום זאת, מיקרוסופט לא הופכת אותה לבחירה הברורה ביותר. אם אתה משתמש בחשבון Microsoft, אין לך אפשרות להשתמש בשאלות לאיפוס סיסמה.
• כדי לנצל זאת, מישהו יצטרך לקבל גישה מרחוק או פיזית למחשב האישי שלך. ועם רמת הגישה הזו, שאלות איפוס הסיסמה הן הדאגות שלך לפחות.

לכן, הסיכויים גדולים מאוד שאף אחד מהמחקרים האלה לא חל עליך. אך גם אם אתה משתמש בחשבון מקומי המצטרף לדומיין, כל זה מסתכם במערך עתיק של שאלות. על כמה נוחות כדאי לוותר בשם האבטחה? לעומת זאת, על כמה אבטחה כדאי לוותר בשם הנוחות?

במקרה זה, הסיכוי של שחקן גרוע לגשת למכונה שלך ולהשתמש בשאלות אבטחה כדי להשיג שליטה מלאה הם רחוקים להפליא. והסיכויים לשכוח את הסיסמה שלך ולהזדקק לשאלות הם מעט גבוהים יותר. ערוך מצב של מצבך, ועשה את הבחירה הטובה ביותר עבורך.