Microsoft съхранява ключовете за криптиране на потребителите на сървърите си, но могат да бъдат изтрити

Това в никакъв случай не е открито наскоро в Windows, която разкрива функция, която компрометира защитата на потребителите, но не може да бъде наречена нова и не може да се каже, че Microsoft е криела информация за нея. Проблемът, свързан с вградената функция за криптиране на диска, се отнася до поредица от такива случаи. Оказа се, че Microsoft съхранява потребителски ключове на своите сървъри, които изобщо не трябва да са там. И повечето потребители дори не са наясно с това.

Универсалното внимание към проблема с кодовете за криптиране привлече The Intercept . Оказа се, че потребителите, които през последните години са закупили компютър с Windows, най-вероятно са „споделили“ своите ключове за криптиране с Microsoft. Проблемът е с вградената функция за криптиране на дискове, която е малко опростена версия на BitLocker. Тази функция е въведена за първи път през 2006 г. и задължителна през 2013 г., когато излезе Windows 8.1 и криптирането стана част от операционната система по подразбиране.

Вграденото криптиране, за разлика от BitLocker, поддържа само вътрешни системни дискове и за нормална работа се нуждае от защитен старт, чип на Trusted Platform Module 2.0 (TPM) и свързан хардуер. Функцията е създадена по такъв начин, че да работи автоматично: TPM се използва само за съхраняване на паролата, а Secure Boot е необходим, така че нищо да не влиза в системата и да не компрометира тази парола.

Друга, допълнителна степен на защита за вградено криптиране: ключ за възстановяване. Потребителят трябва да влезе в Windows чрез акаунт в Microsoft или акаунт в домейна на Windows. В противен случай пълното криптиране на диска може да доведе до неприятни ситуации, по време на които потребителят може да загуби всичките си данни. Например, ако дънната платка бъде заменена по време на ремонт, потребителят губи достъп до данните на диска. В крайна сметка ключът, необходим за декриптиране на информацията, се съхранява в TPM на старата дънна платка.

За да избегнат подобни проблеми, експертите на Microsoft излязоха с използването на ключ за възстановяване. В случай на домейн акаунти, тези ключове се съхраняват в Active Directory, но обикновените потребители имат по-малко късмет. Ако сте използвали акаунт в Microsoft по време на настройка на ОС и първо разрешение, ключът за възстановяване се записва автоматично в OneDrive. Струва си да се каже, че това е наистина удобно, особено когато става въпрос за подмяна на дънната платка, както е в горния пример, или за възстановяване на данни в друго копие на Windows. Въпреки това би било хубаво да се съсредоточим върху това.

Вграденото криптиране е достъпно за всички версии на Windows 10, но играе особено важна роля в Home версията на операционната система, тъй като по-модерният BitLocker и използването на акаунти в домейна не са достъпни за него. Подобна ситуация се наблюдава при Windows 8 и 8.1. Това означава, че ако потребител на някоя от тези ОС е активирал вградената функция за криптиране, неговият ключ за възстановяване се съхранява в OneDrive. Проблемът е, че в новите системи, които работят с акаунти на Microsoft, криптирането обикновено може да бъде активирано по подразбиране. Тоест потребителят дори не осъзнава, че е споделил ключа си с Microsoft.

„След това вашият компютър ще бъде защитен дотолкова, доколкото е защитена базата данни, в която Microsoft съхранява ключовете. Това означава, че тя може да бъде уязвима за хакери, чуждестранни правителства и хора, които могат да извличат информация от служителите на Microsoft “, обяснява Матю Грийн, известен криптограф и професор от университета Джон Хопкинс.

Как да премахнете ключ

Можете да проверите дали Microsoft държи ключа за възстановяване на onedrive.live.com/recoverykey . Там, ако желаете, този ключ може да бъде изтрит. Просто не забравяйте да го запишете предварително или да го съхраните на сигурно място. Изтриването обаче не гарантира, че следващия път, когато разрешите използването на вашия акаунт в Microsoft, ключът няма да бъде презареден на сървъра на OneDrive. За съжаление, за потребителите на домашни версии на Windows опцията „не качвам моя ключ на сървъра“ просто не е предоставена.

Също така си струва да се отбележи, че премахването на ключа от onedrive.live.com/recoverykey не гарантира, че ключът наистина ще бъде изтрит от сървърите на компанията. Продължаването на използването на стария ключ следователно не е безопасно, но потребителите на Windows Home Edition не могат да генерират нов ключ. Такава функция също не е предвидена.

Потребителите на Home версии на ОС могат да попречат на ключа да бъде качен на сървъра и да се защитят само като деактивират криптирането изобщо. Това може да стане на Control Pane > PC and devices > PC info > Device Encryption.

Потребителските ключове за възстановяване на Windows Pro и корпоративни версии на Windows също се качват на сървърите на Microsoft по подразбиране. Те обаче бяха по-щастливи от потребителите на Windows Home Edition – в този случай прехвърлянето на ключове в OneDrive може да бъде изключено и дори има възможност за създаване на нов ключ. За целта отворете Control Panel > BitLockerили просто въведете BitLocker в търсенето.

На отворената страница за управление на криптирането ще трябва първо да изключите BitLocker и след това да го включите отново. Това ще започне процеса на генериране на нов ключ и BitLocker ще попита какво да правите с ключа за възстановяване, вместо да го изпраща безшумно на сървъра на Microsoft. Ключът може да бъде запазен на USB устройство или в локален файл.

One Reply to “Microsoft съхранява ключовете за криптиране на потребителите на сървърите си, но могат да бъдат изтрити”

Вашият коментар