„Microsoft“ generalinis direktorius Satya Nadella naują funkciją „Recall“, kuri saugo kompiuterio darbalaukio istoriją ir teikia ją dirbtinio intelekto analizėms, pavadino „fotografine atmintimi“ kompiuteriui. Tačiau kibernetinio saugumo bendruomenė šią funkciją kritikuoja kaip „hakerių svajonę“ ir vieną blogiausių produktų idėjų pastaruoju metu.
Sicherheitslücken in der Recall-Funktion entdeckt
Trečiadienį saugumo tyrėjai paviešino naujus duomenis, rodančius, kad netgi likusias Recall saugumo priemones galima lengvai apeiti. James Forshaw, „Google“ „Project Zero“ tyrėjas, savo tinklaraščio įraše parodė du metodus, kaip apeiti administratoriaus teises ir pasiekti Recall duomenis. „Administratorius nereikalingas ;-)“, - pabaigoje savo įraše parašė Forshaw.
Forshaw paaiškino, kad vienas iš metodų yra laikinai imituoti programą Windows mašinose, vadinamą AIXHost.exe, kuri gali pasiekti ribotas duomenų bazes. Paprastesnis metodas apima prieigos kontrolės sąrašų perrašymą tiksliniame įrenginyje, kad būtų suteikta prieiga prie visos duomenų bazės.
Reaktionen und Konsequenzen
Alex Hagenah, kibernetinio saugumo strategas, buvo nustebintas metodų paprastumu. Hagenah neseniai sukūrė konceptinį įrankį "TotalRecall", kuris parodė, kaip įsilaužėlis galėtų išgauti prisiminimo duomenis. Tačiau iki šiol jo įrankiui veikti reikėjo administratoriaus teisių. Naudojant Forshaw metodus, tai nebėra reikalinga.
Šie atskleidimai sustiprina susirūpinimą, kad Recall iš esmės veikia kaip iš anksto įdiegta šnipinėjimo programinė įranga naudotojo įrenginyje, kurią gali lengvai išnaudoti įsilaužėliai. Dave Aitel, kibernetinio saugumo kompanijos Immunity įkūrėjas, pabrėžė: „Tai labai susilpnina jūsų saugumą, nes kiekvienas, kuris tik trumpam perima jūsų įrenginio kontrolę, gali peržiūrėti visą jūsų istoriją.”
Microsofts Antwort bleibt aus
Iki šiol „Recall“ buvo išbandyta peržiūros versijose, prieš planuojant oficialiai pristatyti vėliau šį mėnesį. „Microsoft“ planuoja šią funkciją standartiniu būdu įjungti suderinamuose „Copilot+“ kompiuteriuose. Nepaisant užklausų, „Microsoft“ iki šiol nereagavo į „Forshaw“ išvadas.
Jake Williams, buvęs NSA programišius ir dabar VP R&D kibernetinio saugumo konsultavimo įmonėje Hunter Strategy, išreiškė stiprias abejones: „Tai vienas baisiausių atvejų, kuriuos esu kada nors matęs įmonių saugumo perspektyvoje.“ Jis kritikavo, kad funkcija buvo aiškiai paleista į rinką be tinkamos Microsoft kibernetinio saugumo komandos peržiūros.
Šie naujausi atskleidimai dar kartą pabrėžia būtinybę kruopščiai tikrinti naujų technologijų saugumą ir potencialią riziką, susijusią su jų diegimu.
