Nej, du behøver ikke at deaktivere spørgsmål om adgangskodeopdatering på Windows 10

For nylig beskrev en gruppe forskere et scenario, hvor der blev brugt adgangskodegendannelsespørgsmål til at bryde ind i Windows 10-pc'er. Dette har ført til, at nogle tyder på at deaktivere funktionen. Men du behøver ikke at gøre dette, hvis du er en hjemmecomputer bruger.

Så hvad foregår der her?

Som Ars Technica først rapporterede, har Windows 10 tilføjet muligheden for at indstille problemer med adgang til adgangskode på lokale konti i det forløbne år. Sikkerhedsforskere drog ind i dette og opdagede, at det på et firmas netværk kunne føre til potentiel sårbarhed.

Lige uden for flagermuset kan du få øje på to vigtige punkter der:

• For det første afhænger hele scenariet af computere, der er tilknyttet et domænenetværk - den slags, du ville finde på et forretningsnetværk med administrerede computere.
• For det andet gælder sårbarheden for lokale konti. Det er særligt interessant, fordi hvis din pc er en del af et domæne, bruger du næsten helt sikkert en centraliseret domæne brugerkonto og ikke en lokal konto. Og sikkerhedsspørgsmål er ikke tilladt på domænekonti som standard.

Der er også et tredje punkt, der er endnu vigtigere. Alt dette kræver, at den ondsindede skuespiller først får adgang til administratoreniveau på netværket. Derefter kunne de identificere maskiner forbundet med netværket, der stadig har lokale konti og derefter tilføje sikkerhedsspørgsmål til disse konti.

Hvorfor bekymre sig?

Tanken er, at hvis admins opdager og tilbagekalder den ondsindede skuespiller adgang og efterfølgende ændrer alle adgangskoderne, kan skuespilleren i teorien komme tilbage til netværket på disse maskiner og bruge deres brugerdefinerede spørgsmål til at nulstille disse adgangskoder og genvinde fuld adgang.

Forskerne foreslog, at de også kunne bruge et hashing-værktøj til at bestemme den tidligere adgangskode, og derefter genoprette den gamle adgangskode for at skjule deres adgang. Problemet her er, at de fleste domæner netværk tillader ikke at genbruge adgangskoder som standard.

Da Ars Technica spurgte Microsoft for kommentar, var svaret kort:

Den beskrevne teknik kræver, at en hacker allerede har administratoradgang

Selvom det måske virker uklart i starten, er det rigtigt, hvad Microsoft mener, at det er rigtigt, og det bringer os til den reelle kerne i sagen. Når en ondsindet skuespiller har adgang til administrativt niveau på et netværk, går potentielle skader og veje til angreb langt ud over simple adgangskodeindstillinger. Og hvis et netværk er robust nok til at forhindre den ondsindede skuespiller i nogen sinde at få administrativt niveau, så er alt dette moot.

Så til sidst skal vores ondsindede angriber have adgang til administratoradgang til et firmanetværk, der bruger et Windows-domæne, finde computere, der kan have lokale konti på dem, og derefter oprette sikkerhedsspørgsmål, så de kan komme tilbage til dem computere, hvis de opdages og låses ud. Og det skal vi være bekymrede for, når deres adgang til administratorniveau giver dem mulighed for at gøre så meget mere skade allerede.

Forstået. Så, gælder dette for mig?

Hvis du bruger en Windows 10-computer derhjemme, er det korte svar næsten ikke helt sikkert. Og her er hvorfor:

• Din hjemme-pc er sandsynligvis ikke tilknyttet et domæne.
• Selvom det er, skal du bruge en lokal konto, og de fleste mennesker på Windows 10 bruger sandsynligvis en Microsoft-konto til at logge ind. Det skyldes, at Windows 10 kræver, at du bruger en Microsoft-konto, så mange funktioner fungerer korrekt. Og mens du kan tage et par ekstra skridt til at oprette en lokal konto i stedet, gør Microsoft det ikke det mest oplagte valg. Hvis du bruger en Microsoft-konto, har du ikke mulighed for at bruge spørgsmål om tilbagestilling af adgangskode.
• For at drage fordel af dette, skal en person have enten fjernadgang eller fysisk adgang til din pc. Og med det niveau af adgang er spørgsmål om tilbagestilling af adgangskoder det mindste af dine bekymringer.

Så chancerne er meget høje, at ingen af ​​disse undersøgelser gælder for dig. Men selvom du bruger en lokal konto, der er tilknyttet et domæne, kommer alt dette ned til et gammelt sæt spørgsmål. Hvor meget bekvemmelighed skal du give op med hensyn til sikkerhed? Omvendt, hvor meget sikkerhed skal du give op med hensyn til bekvemmelighed?

I dette tilfælde er chancerne for en dårlig skuespiller, der får adgang til din maskine og brug af sikkerhedsspørgsmål for at få fuld kontrol, utroligt fjernt. Og chancerne for at glemme dit kodeord og brug for spørgsmålene er lidt højere. Få oversigt over din situation, og gør det bedste valg for dig.