아니요, Windows 10에서 비밀번호 복구 질문을 비활성화하지 않아도됩니다.
최근에 한 그룹의 연구원은 암호 복구 질문을 사용하여 Windows 10 PC를 침입하는 시나리오를 설명했습니다. 이로 인해이 기능을 사용하지 않도록 설정하는 것이 좋습니다. 하지만 가정용 컴퓨터 사용자 인 경우에는이 작업을 수행 할 필요가 없습니다..
그럼, 여기서 뭐하고있는거야??
Ars Technica가 처음 보도 한 바와 같이 Windows 10은 지난 해 로컬 계정에 대한 암호 복구 질문을 설정하는 옵션을 추가했습니다. 보안 연구원은이를 조사하여 비즈니스 네트워크에서 잠재적 취약성을 유발할 수 있음을 발견했습니다..
박쥐 바로 옆에서 두 가지 중요한 점을 발견 할 수 있습니다.
- 첫째, 전체 시나리오는 관리 컴퓨터가있는 비즈니스 네트워크에서 찾을 수있는 종류의 도메인 네트워크에 연결된 컴퓨터에 의존합니다.
- 둘째, 취약점은 로컬 계정에도 적용됩니다. 이는 특히 PC가 도메인의 일부인 경우 로컬 계정이 아닌 중앙 집중식 도메인 사용자 계정을 사용하기 때문에 매우 흥미 롭습니다. 기본적으로 도메인 계정에는 보안 질문이 허용되지 않습니다..
심지어 더 중요한 세 번째 요점이 있습니다. 이 모든 것은 악의적 인 배우가 먼저 네트워크에서 관리자 수준의 액세스 권한을 얻도록 요구합니다. 그런 다음 로컬 계정이있는 네트워크에 연결된 컴퓨터를 확인한 다음 해당 계정에 보안 질문을 추가 할 수 있습니다.
왜 귀찮은거야??
관리자가 악의적 인 배우의 액세스를 발견하고 취소 한 다음 모든 비밀번호를 변경하면 이론적으로 배우가이 머신에 대한 네트워크로 돌아가 자신의 맞춤 질문을 사용하여 비밀번호를 재설정하고 모든 액세스 권한을 다시 얻을 수 있습니다.
연구원은 해싱 도구를 사용하여 이전 암호를 확인한 다음 이전 암호를 복원하여 액세스를 숨길 수 있다고 제안했습니다. 여기서 문제는 대부분의 도메인 네트워크가 기본적으로 재사용 된 비밀번호를 허용하지 않는다는 것입니다.
Ars Technica가 Microsoft에 의견을 물었을 때 응답은 짧았습니다.
설명 된 기술은 공격자가 이미 관리자 액세스 권한을 소유하고 있어야합니다.
그것이 처음에는 둔하게 느껴질 수도 있지만, Microsoft가 암시하는 바는 옳다. 문제의 진정한 핵심에 우리를 데려다 준다. 악의적 인 배우가 네트워크에서 관리자 수준의 액세스 권한을 가지면 잠재적 인 손상 및 공격 경로가 간단한 암호 재설정 트릭을 훨씬 뛰어 넘습니다. 악의적 인 배우가 관리 수준을 얻지 못하도록 네트워크가 충분히 견고하면 모든 것이 논리적입니다..
따라서 결국 우리의 악의적 인 공격자는 Windows 도메인을 사용하는 비즈니스 네트워크에 대한 관리자 수준의 액세스 권한을 얻고 로컬 계정이있는 컴퓨터를 찾은 다음 보안 질문을 만들어이를 다시 액세스 할 수있게해야합니다 컴퓨터가 발견되어 잠긴 경우 그리고 관리자 수준의 액세스 권한으로 인해 더 많은 피해를 이미 입을 수있게 될 때 걱정할 필요가 있습니다..
알았다. 그래서,이게 나에게 적용 되는가??
집에서 Windows 10 컴퓨터를 사용하고 있다면 짧은 대답은 거의 확실하지 않습니다. 그 이유는 다음과 같습니다.
- 가정용 PC가 도메인에 가입하지 않은 것 같습니다..
- 그렇다고하더라도 로컬 계정을 사용해야하고 Windows 10의 대부분의 사용자는 Microsoft 계정을 사용하여 로그인해야합니다. Windows 10에서는 많은 기능이 제대로 작동하려면 Microsoft 계정을 사용해야하기 때문입니다. 지역 계정을 만드는 데 몇 가지 추가 단계를 취할 수는 있지만 Microsoft는 가장 확실한 선택을하지 않습니다. Microsoft 계정을 사용하는 경우 암호 재설정 질문을 사용할 수있는 옵션이 없습니다..
- 이를 이용하려면 누군가 PC에 원격 또는 물리적으로 액세스해야합니다. 그리고 그 수준의 액세스로 비밀번호 재설정 질문은 귀하의 걱정거리 중 가장 적은 것입니다..
따라서이 연구가 귀하에게 적용되지 않을 가능성이 매우 높습니다. 그러나 도메인에 가입 한 로컬 계정을 사용하는 경우에도이 모든 것은 오래된 질문 집합으로 이어집니다. 보안의 이름으로 어느 정도의 편의를 포기해야합니까? 반대로, 편의의 이름으로 얼마만큼의 보안을 포기해야합니까??
이 경우 나쁜 액터가 컴퓨터에 액세스하고 보안 질문을 사용하여 완전히 제어 할 가능성이 매우 높습니다. 그리고 암호를 잊어 버리고 질문을 할 가능성이 조금 더 높습니다. 자신의 상황을 파악하고 최선의 선택을하십시오..
