Защищаем компьютеры с Windows 10/11. Часть II

А что в Windows 11 с BitLocker?

Ни сам механизм BitLocker, ни полити­ки шиф­рования в Windows 11 не пре­тер­пели серь­езных изме­нений в срав­нении с Windows 10. Пос­ле анон­са Windows 11 у мно­гих обоз­ревате­лей воз­никло впе­чат­ление, что Microsoft будет шиф­ровать сис­темный раз­дел Windows 11 так же, как это дела­ют про­изво­дите­ли смар­тфо­нов. Ожи­дания не оправда­лись. По умол­чанию (через BitLocker Device Encryption) шиф­руют­ся лишь обо­рудо­ван­ные TPM пор­татив­ные устрой­ства — ноут­буки, план­шеты и устрой­ства «два в одном»; одна­ко точ­но таким же обра­зом шиф­рование вклю­чалось и в Windows 8, и в Windows 10. При уста­нов­ке Windows 11 на нас­толь­ный компь­ютер шиф­рование по умол­чанию не вклю­чает­ся; более того, что­бы исполь­зовать BitLocker, тре­бует­ся редак­ция Windows 11 Pro, Enterprise или Education. Для поль­зовате­лей млад­шей редак­ции Home шиф­рование оста­ется недос­тупным. 

PIN-код вместо пароля: это действительно безопасней?

На­конец мы доб­рались до PIN-кодов — того «нового» спо­соба авто­риза­ции, который Microsoft пред­лага­ет исполь­зовать вмес­то «уста­рев­шего и небезо­пас­ного» пароля. Почему — вне­зап­но! — авто­риза­ция по паролю ста­ла «уста­рев­шей и небезо­пас­ной»? При­веду информа­цию из статьи Microsoft, в которой и опи­саны основные раз­личия меж­ду под­ходами.

info

А зна­ешь ли ты, что в Windows 10 так­же исполь­зует­ся (точ­нее, может исполь­зовать­ся… а может и не исполь­зовать­ся) модуль безопас­ности TPM 2.0? Раз­ница меж­ду Windows 10 и Windows 11 не в мас­шта­бах исполь­зования TPM (здесь я не уви­дел прин­ципи­аль­ных отли­чий), а в том, что в Windows 11 TPM обя­зате­лен, а в Windows 10 — нет. Эта, казалось бы, неболь­шая раз­ница при­водит к гло­баль­ным пос­ледс­тви­ям в области безопас­ности при исполь­зовании вхо­да по PIN-коду вмес­то пароля. Под­робно об этом Microsoft рас­ска­зыва­ет в сле­дующей статье (на англий­ском).

В этой статье Microsoft выс­казыва­ет нес­коль­ко не впол­не кор­рек­тных утвер­жде­ний, «оче­вид­ная» интер­пре­тация которых соз­дает лож­ное ощу­щение безопас­ности. Раз­берем под­робнос­ти. Ниже при­водит­ся цитата из статьи (Microsoft исполь­зует авто­мати­чес­кий перевод; я сох­ранил орфогра­фию ори­гина­ла):

ПИН‑код при­вязан к устрой­ству

Од­но важ­ное отли­чие меж­ду онлайн‑паролем и ПИН‑кодом Hello сос­тоит в том, что ПИН‑код при­вязан к опре­делен­ному устрой­ству, на котором он был нас­тро­ен. ПИН‑код не может исполь­зовать­ся без кон­крет­ного обо­рудо­вания. Кто‑то, кто кра­дет ваш пароль в Интерне­те, может вой­ти в вашу учет­ную запись из любого мес­та, но если он укра­дет ПИН‑код, им так­же при­дет­ся украсть ваше физичес­кое устрой­ство!

ПИН‑код под­держи­вает­ся обо­рудо­вани­ем

ПИН‑код Hello под­держи­вает­ся мик­росхе­мой доверен­ного плат­формен­ного модуля (TPM), пред­став­ляющей собой надеж­ный крип­тогра­фичес­кий про­цес­сор для выпол­нения опе­раций шиф­рования. Эта мик­росхе­ма содер­жит нес­коль­ко механиз­мов физичес­кой защиты для пре­дот­вра­щения взло­ма, и вре­донос­ные прог­раммы не могут обой­ти фун­кции безопас­ности TPM. Мно­гие сов­ремен­ные устрой­ства име­ют TPM. Windows 10, с дру­гой сто­роны, име­ет дефект, не свя­зыва­ющий локаль­ные пароли с TPM. Имен­но по этой при­чине ПИН‑коды счи­тают­ся более безопас­ными, чем локаль­ные пароли.

Ес­ли вос­при­нимать информа­цию бук­валь­но, соз­дает­ся ощу­щение, буд­то PIN-код — это сво­еоб­разная панацея, всег­да хра­нит­ся в модуле TPM и не может быть взло­ман. Это не так. Дело в том, что Windows 10 работа­ет как на компь­юте­рах с модулем TPM, так и без него, при­чем поль­зовате­лю об этом сис­тема не сооб­щает. Более того, даже на компь­юте­рах, в про­шив­ке которых при­сутс­тву­ет эму­ляция TPM, эта эму­ляция чаще все­го по умол­чанию отклю­чена — поль­зовате­лю пред­лага­ется самос­тоятель­но зай­ти в UEFI BIOS, отыс­кать меню Miscellaneous и вклю­чить нас­трой­ку, которая может называть­ся, к при­меру, Intel Platform Trust Technology (PTT). Сколь­ко поль­зовате­лей вклю­чит эту нас­трой­ку, а какое количес­тво оста­вит ее неиз­менной или прос­то не узна­ет о ее сущес­тво­вании?

Ес­ли TPM в сис­теме отсутс­тву­ет или не вклю­чен в UEFI BIOS, Windows 11 прос­то отка­жет­ся от уста­нов­ки. А вот Windows 10 все рав­но пред­ложит исполь­зовать для вхо­да PIN-код, а Microsoft все так же будет убеж­дать, что этот спо­соб вхо­да более безопа­сен по срав­нению с паролем. Это не так. Пароль от учет­ной записи в виде хеша все так же хра­нит­ся на дис­ке, а сам PIN-код с компь­юте­ра без TPM мож­но взло­мать прос­тым перебо­ром (циф­ровые PIN-коды, даже шес­тизнач­ные, получит­ся переб­рать за счи­таные секун­ды).

Без модуля TPM вход в Windows по PIN-коду небезопасен

Сов­сем ина­че дела обсто­ят в слу­чае, если в сис­теме при­сутс­тву­ет и акти­виро­ван модуль TPM 2.0 в физичес­ком виде либо в виде про­цес­сорной эму­ляции. Рас­смот­рим поведе­ние сис­темы в сле­дующих сце­нари­ях, которые мы про­тес­тирова­ли в нашей лабора­тории.

Сце­нарий 1: сис­тема с Windows 10 (вход по PIN-коду) без TPM перено­сит­ся на дру­гой компь­ютер без TPM. Перено­сит­ся физичес­кий диск с уста­нов­ленной ОС. Резуль­тат: вход по PIN-коду сра­баты­вает на новом компь­юте­ре так же, как и на ста­ром.

Сце­нарий 2: сис­тема с Windows 10 (вход по PIN-коду) без TPM перено­сит­ся на дру­гой компь­ютер без TPM. Перено­сит­ся толь­ко копия раз­дела с уста­нов­ленной ОС; аппа­рат­ное обес­печение меж­ду дву­мя компь­юте­рами не сов­пада­ет ни по одной позиции. Резуль­тат: вход по PIN-коду сра­баты­вает на новом компь­юте­ре так же, как и на ста­ром.

Сце­нарий 3: сис­тема с Windows 10 (вход по PIN-коду) без TPM перено­сит­ся на компь­ютер с уста­нов­ленным и активным модулем TPM. Перено­сит­ся толь­ко копия раз­дела с уста­нов­ленной ОС; аппа­рат­ное обес­печение меж­ду дву­мя компь­юте­рами не сов­пада­ет ни по одной позиции. Резуль­тат: вход по PIN-коду сра­баты­вает на новом компь­юте­ре так же, как и на ста­ром.

Сце­нарий 4: сис­тема с Windows 10 (вход по PIN-коду) с активным модулем TPM перено­сит­ся на дру­гой компь­ютер с активным модулем TPM. Перено­сит­ся копия раз­дела с уста­нов­ленной ОС; аппа­рат­ное обес­печение меж­ду дву­мя компь­юте­рами не сов­пада­ет. Резуль­тат: вход по PIN-коду на новом компь­юте­ре не сра­баты­вает; для вхо­да тре­бует­ся пароль от учет­ной записи; для исполь­зования PIN-кода пот­ребова­лось уда­лить ста­рый PIN и нас­тро­ить новый.

Оче­вид­но, что толь­ко чет­вертый сце­нарий соот­ветс­тву­ет модели безопас­ности, опи­сан­ной Microsoft в статье. 

Можно ли использовать вход без пароля в Windows 10?

Мож­но. Но нуж­но ли?

В сен­тябре 2021 года ком­пания анон­сирова­ла свое ви­дение будуще­го без паролей. Поль­зовате­лям оче­ред­ной сбор­ки Windows 10 пред­лагалось изме­нить нас­трой­ки учет­ной записи Microsoft Account, зап­ретив вход в нее по паролю. Такая учет­ная запись для вхо­да в сис­тему поз­воляла изба­вить­ся от хра­нения хеша пароля на локаль­ном компь­юте­ре. В то же вре­мя поль­зователь терял воз­можность вой­ти в учет­ную запись Microsoft из бра­узе­ра по логину и паролю; для успешно­го вхо­да тре­бовал­ся дос­туп к доверен­ному телефон­ному номеру или ранее авто­ризо­ван­ному устрой­ству с уста­нов­ленным на нем при­ложе­нием Microsoft Authenticator. С уче­том того, что дан­ное при­ложе­ние дос­тупно исклю­читель­но для смар­тфо­нов на iOS и Android (но не для компь­юте­ров под управле­нием Windows), целесо­образность новов­ведения пред­став­ляет­ся нес­коль­ко сом­нитель­ной. Под­робнее об этом мож­но про­читать здесь. Нов­шес­тво не получи­ло замет­ного рас­простра­нения из‑за неоче­вид­ных пре­иму­ществ и сущес­твен­ного неудобс­тва исполь­зования.

Как Windows использует TPM при авторизации входа в систему через PIN

В до­кумен­тации Microsoft опи­саны спо­собы, которы­ми Windows может исполь­зовать аппа­рат­ный модуль безопас­ности. Реаль­ность зна­читель­но скром­нее: «может» не озна­чает «исполь­зует». Так, пароли, которые поль­зователь хра­нит в бра­узе­ре Microsoft Edge, защище­ны механиз­мом DPAPI, но ключ шиф­рования хра­нит­ся на сис­темном дис­ке (он зашиф­рован дан­ными учет­ной записи) и не защища­ется TPM, что поз­воля­ет извлечь эти пароли из обра­за дис­ка, если известен пароль от учет­ной записи поль­зовате­ля.

Вмес­то того что­бы исполь­зовать TPM для хра­нения все боль­шего количес­тва дан­ных, в Microsoft попыта­лись обой­ти проб­лему, пре­дос­тавив спо­соб вхо­да в учет­ную запись по PIN-коду и без пароля. Имен­но этот спо­соб — и толь­ко на сис­темах с TPM! — поз­воля­ет говорить о безопас­ности учет­ной записи: теперь защищен­ные DPAPI дан­ные невоз­можно рас­шифро­вать, не вой­дя в сис­тему, а вой­ти в сис­тему мож­но исклю­читель­но по PIN-коду (или через Windows Hello), который будет про­верять­ся аппа­рат­ным модулем TPM. Любое изме­нение в кон­фигура­ции сис­темы (как изме­нение аппа­рат­ной час­ти, так и заг­рузка с внеш­него накопи­теля) при­ведет к тому, что модуль TPM не отдаст нуж­ный ключ и защищен­ные дан­ные рас­шифро­вать не удас­тся.

В ито­ге в обо­рудо­ван­ных TPM сис­темах с Windows 10 и Windows 11 невоз­можно взло­мать PIN-код, а в Windows 11 с новым типом учет­ных записей с авто­риза­цией без пароля его невоз­можно подоб­рать или исполь­зовать пароль от Microsoft Account, извле­чен­ный из дру­гого компь­юте­ра или учет­ной записи. 

Выводы

Пе­речи­тав статью, я понял, что количес­тво информа­ции и мно­гочис­ленные отсылки, «но», «если» и «да, но…» спо­соб­ны вски­пятить содер­жимое череп­ной короб­ки не хуже, чем это дела­ет докумен­тация Microsoft. Поэто­му вмес­то зак­лючения я хочу перечис­лить основные тезисы статьи в фор­мате воп­росов и отве­тов.

Шиф­рование сис­темно­го дис­ка BitLocker безопас­но?

Да, если в сис­теме есть (и акти­виро­ван) модуль TPM, Intel PTT или AMD fTPM. Для пол­ной уве­рен­ности мож­но вклю­чить режим шиф­рования с 256-бит­ным клю­чом (по умол­чанию исполь­зует­ся 128-бит­ный). Более того, полити­ки безопас­ности BitLocker мож­но гиб­ко нас­тра­ивать (нап­ример, тре­буя ввес­ти отдель­ный PIN-код перед заг­рузкой); об этих нас­трой­ках я так­же пла­нирую написать в одной из сле­дующих ста­тей.

Но ведь… уяз­вимос­ти?

Боль­шинс­тво уяз­вимос­тей TPM носит ско­рее теоре­тичес­кий харак­тер. Более того, они не рас­простра­няют­ся на прог­рам­мную эму­ляцию в виде Intel PTT или AMD fTPM, в которых уяз­вимос­тей не обна­руже­но.

Ре­аль­ная уяз­вимость BitLocker (как, впро­чем, и мно­гих дру­гих сис­тем шиф­рования дис­ков в Windows) зак­люча­ется в хра­нении клю­ча шиф­рования в опе­ратив­ной памяти компь­юте­ра. При исполь­зовании TPM сис­темный раз­дел раз­бло­киру­ется в про­цес­се заг­рузки еще до авто­риза­ции поль­зовате­ля (то есть до зап­роса пароля или PIN-кода). Сущес­тву­ет ата­ка, в ходе которой модули опе­ратив­ной памяти физичес­ки замора­жива­ются, извле­кают­ся, а их содер­жимое счи­тыва­ется и ана­лизи­рует­ся. Эта ата­ка дей­стви­тель­но поз­воля­ет обна­ружить ключ шиф­рования и раз­бло­киро­вать диск. В то же вре­мя такая ата­ка тре­бует обо­рудо­ван­ной лабора­тории и работы ква­лифи­циро­ван­ного спе­циалис­та; она и подоб­ные ей ата­ки исполь­зуют­ся исклю­читель­но спец­служ­бами при рас­сле­дова­нии осо­бо важ­ных дел.

За что ты так не любишь Windows 10?

А почему она про­дол­жает работать, если в сис­теме нет TPM? И лад­но бы про­дол­жала работать, так ведь пред­лага­ет нас­тро­ить вход по PIN-коду вмес­то пароля! Для справ­ки: ско­рость перебо­ра паролей NTLM такова, что циф­ровой PIN-код, даже сос­тоящий из шес­ти цифр, переби­рает­ся за нес­коль­ко секунд. Да, эта проб­лема реша­ется вклю­чени­ем TPM (тог­да PIN-код подоб­рать невоз­можно), но воз­ника­ет дру­гая: в учет­ную запись Microsoft мож­но вой­ти, если известен пароль от нее.

Но ведь мож­но не исполь­зовать учет­ную запись Microsoft?

Мож­но. Но не во всех редак­циях Windows. И ты про­игры­ваешь в удобс­тве (наруша­ется прес­ловутый баланс удобс­тва и безопас­ности).

Так ведь и BitLocker дос­тупен не во всех редак­циях Windows!

С точ­ки зре­ния Microsoft, поль­зовате­лям «домаш­ней» редак­ции по опре­деле­нию «скры­вать нечего». Если ты с этим не сог­ласен — тебе поможет VeraCrypt, о котором мы погово­рим в одной из сле­дующих ста­тей.

Ес­ли я обновлюсь на Windows 11 и зашиф­рую диск, все ста­нет безопас­но?

Поч­ти. Не забудь еще вык­лючить вход в учет­ную запись по паролю; тог­да и толь­ко тог­да PIN-код будет защищен TPM. И кста­ти, про­кон­тро­лируй, куда кон­крет­но сох­раня­ется ключ вос­ста­нов­ления дос­тупа BitLocker. Если в твою учет­ную запись Microsoft, то извлечь его отту­да — дело нес­ложное.

А если не обновлюсь?

В прин­ципе, срав­нимого с прак­тичес­кой точ­ки зре­ния уров­ня безопас­ности мож­но дос­тичь, исполь­зуя локаль­ную учет­ную запись Windows со стой­ким уни­каль­ным паролем. В теории Windows 11 будет безопас­нее за счет воз­можнос­ти пол­ностью отка­зать­ся от спо­собов авто­риза­ции, не защищен­ных аппа­рат­ным спо­собом (TPM).

Мож­но ли взло­мать PIN?

Да, мож­но — если в сис­теме нет (или не акти­виро­ван) TPM. Если же TPM акти­вен, то аппа­рат­ный модуль будет огра­ничи­вать ско­рость перебо­ра, а через какое‑то вре­мя заб­локиру­ет даль­нейшие попыт­ки.

А если у меня нет TPM?

Ес­ли твой компь­ютер осна­щен про­цес­сором Intel 8-го поколе­ния или более новым либо AMD Zen или более новым, то, веро­ятнее все­го, фун­кци­ональ­ность TPM у тебя есть в виде эму­лято­ра (Intel PTT, AMD fTPM), прос­то не вклю­чена в UEFI BIOS. Най­ди и вклю­чи.

Ес­ли же у тебя более ста­рый компь­ютер, то есть вари­анты. О них я пла­нирую написать в сле­дующей статье.

Часть I.

Олег Афонин, xakep.ru