Как я могу остановить использование среды восстановления Windows в качестве задней двери?

В Windows 10 среда восстановления Windows (WinRE) может быть запущена путем многократного отключения питания компьютера во время последовательности загрузки. Это позволяет злоумышленнику с физическим доступом к настольному компьютеру получить административный доступ к командной строке, после чего он может просматривать и изменять файлы, сбрасывать административный пароль, используя различные методы , и так далее.

(Обратите внимание, что если вы запускаете WinRE напрямую, вы должны предоставить локальный административный пароль, прежде чем он предоставит вам доступ к командной строке; это не применяется, если вы запускаете WinRE путем многократного прерывания последовательности загрузки. Microsoft подтвердила, что они не считают это быть уязвимостью в безопасности.)

В большинстве случаев это не имеет значения, поскольку злоумышленник с неограниченным физическим доступом к машине обычно может сбросить пароль BIOS и получить административный доступ, загрузившись со съемного носителя. Однако для киосковых машин, в учебных лабораториях и т. Д. Обычно принимаются меры по ограничению физического доступа, например, с помощью навесного замка и / или подачи сигналов тревоги на машины. Было бы очень неудобно также пытаться заблокировать доступ пользователя к кнопке питания и настенной розетке. Наблюдение (лично или с помощью камер наблюдения) может быть более эффективным, но тот, кто использует эту технику, все равно будет гораздо менее очевиден, чем, например, кто-то пытается открыть корпус компьютера.

Как системный администратор может предотвратить использование WinRE в качестве задней двери?

Приложение: если вы используете BitLocker, вы уже частично защищены от этой техники; злоумышленник не сможет читать или изменять файлы на зашифрованном диске. Для злоумышленника все еще будет возможность стереть диск и установить новую операционную систему или использовать более сложную технику, например, прошивку. (Насколько мне известно, инструменты для прошивки не всегда широко доступны случайным злоумышленникам, так что это, вероятно, не является непосредственной проблемой).

— Гарри Джонстон
источник

Также следует отметить, что физический доступ не является обязательным, если требуется только многократное отключение питания во время загрузки. Это тоже может случиться случайно.

— Александр Косубек

Кстати, если злоумышленник имеет физический доступ к вашему компьютеру, он почти достиг своей цели.

— glglgl

@glglgl, это значительно увеличивает риск, очевидно. Но в этом случае использования потенциальный злоумышленник, как правило, тот, кто должен иметь доступ к компьютеру, потому что для этого он и существует. Мы не можем устранить все риски, но это не значит, что мы должны сдаваться и игнорировать те, где мы можем.

— Гарри Джонстон

Windows 10 WinRE не дает вам доступ к командной строке без пароля администратора. В его потоках вам предлагается выбрать одну из учетных записей администратора Win10 и указать пароль для этой учетной записи. Только после прохождения этой проверки вы получаете доступ к командной строке и другим функциям, таким как сброс системы.

— Видеогай

@videoguy, если вы запускаете WinRE, неоднократно прерывая последовательность загрузки, он делает , вы получите доступ к командной строке без пароля администратора. Не спрашивай меня почему. Вот как это работает. Это уже упоминалось в вопросе.

— Гарри Джонстон

Ответы:

Вы можете использовать reagentcдля отключения WinRE:

reagentc /disable

См. Документацию Microsoft для дополнительных параметров командной строки.

Когда WinRE отключен таким образом, меню запуска по-прежнему доступны, но единственная доступная опция - это меню «Параметры запуска», эквивалентное старым параметрам запуска F8.

Если вы выполняете автоматическую установку Windows 10 и хотите, чтобы WinRE автоматически отключался во время установки, удалите следующий файл из образа установки:

\windows\system32\recovery\winre.wim

Инфраструктура WinRE все еще на месте (и ее можно будет снова включить позже с помощью копии winre.wimи reagentcинструмента командной строки), но она будет отключена.

Обратите внимание, что Microsoft-Windows-WinRE-RecoveryAgentпараметр in unattend.xmlне оказывает никакого влияния в Windows 10. (Однако это может зависеть от того, какую версию Windows 10 вы устанавливаете; я проверял ее только в ветке LTSB версии 1607).

— Гарри Джонстон
источник

Я бы предложил также добавить запись восстановления вручную, которая не является частью recoverysequence. Это позволит восстановить без (надеюсь?) Автоматического запуска.

— Мердад

Есть причина, почему WinRE включен на Win10. Если ваша система не загружается и вы хотите восстановить ее, инструменты WinRE помогут вам в этом. Когда у кого-то есть физический доступ, все ставки отменяются. Отключение этого не очень помогает в этом отношении. Можно легко создать USB-накопитель с WinRE и загрузиться с него, и теперь у него есть доступ ко всему диску C: \.

— видеогай

@videoguy, поэтому мы отключаем загрузку с USB в BIOS и предупреждаем о случаях, когда пользователи не могут сбросить пароль BIOS. И, конечно, у нас есть инструменты, необходимые для восстановления системы без WinRE, или, поскольку это киоски, мы можем просто переустановить их.

— Гарри Джонстон

Используйте BitLocker или любое другое шифрование жесткого диска. Это единственный надежный и действительно безопасный способ достичь того, чего вы хотите.

— Swisstone
источник

@HarryJohnston: я не очень знаком с Windows, но разве злоумышленник, имеющий физический доступ к компьютеру, всегда сможет стереть диск и переустановить операционную систему?

— Томас Падрон-Маккарти

@ ThomasPadron-McCarthy, если BIOS правильно настроен, и они не могут открыть дело.

— Гарри Джонстон

«Это единственный надежный и действительно безопасный способ». Это в значительной степени говорит о том, что другой ответ либо неверен, либо дает ложное чувство безопасности. Если уточнить, почему это так, этот краткий ответ превратится в нечто полезное.

— Мачта

Это. Если кто-то постоянно отключает питание, чтобы получить доступ, то проблема с переносом диска в другой компьютер, безусловно, тоже. Bitlocker (или подобное программное обеспечение) действительно единственный способ предотвратить это. Нет введенных учетных данных, нет доступа к диску (бесполезно, в любом случае значимый доступ, вы можете перезаписать все, но вы также всегда можете разбить диск молотком).

— Деймон

@ poizan42 ОП решает эту другую проблему в другом месте. Они касаются только WinRE для целей этого вопроса .

— Pureferret

Bit Locker также работает в случае, когда кто-то крадет ваш жесткий диск и использует его в качестве своего дополнительного диска в своем ПК, так что загрузка ПК с его ОС и дополнительного жесткого диска в качестве только диска не требует ввода пароля, и если он не используется Защищенный BitLocker любой может легко изучить его содержимое. Пожалуйста, будьте осторожны, пытаясь это сделать, потому что повторение этого действия приводит к серьезному повреждению данных.

Всегда используйте шифрование для предотвращения подобных проблем. Пожалуйста, прочтите это для получения дополнительной информации о шифровании диска.

Шифрование диска

— ТАХА СУЛТАН ТЕМУРИ
источник

О чем вообще ты говоришь? Если вы хотите смонтировать диск с защитой битов как дополнительный диск, вам нужен ключ восстановления. Если вы делаете что-то для сброса TPM на хост-машине, вам нужен ключ восстановления. Если вы загружаетесь с портальной копии Windows, вам понадобится ключ восстановления.

— Марк Хендерсон

@ Марк, я думаю, вы неверно истолковали этот ответ; это говорит о том, что если вы не используете BitLocker, то злоумышленник может украсть жесткий диск и получить доступ к содержимому. С другой стороны, в нем полностью отсутствует вопрос, касающийся компьютеров, которые были физически защищены; если злоумышленник не может открыть дело, он не может украсть жесткий диск.

— Гарри Джонстон

Точно @ Гарри Джонстно, я хотел сказать, что шифрование обеспечит вам большую безопасность.

— ТАХА СУЛТАН ТЕМУРИ

@HarryJohnston Если злоумышленник не может открыть дело, он недостаточно старается. Ножовка и немного смазки для локтя «откроют» любой корпус компьютера, не говоря уже о электроинструментах или старомодном «разбить и схватить». Не сказать, что это вероятный риск для варианта использования, но, тем не менее, «физически защищенный» - это относительный термин, и почти никогда не такой уж безопасный в действительности .

— HopelessN00b

@ HopelessN00b, да, все дело в профилях рисков.

— Гарри Джонстон