Инструмент ‘TotalRecall Reloaded’ обнаружил боковой вход к базе данных Recall в Windows 11.

от

Два года назад Microsoft представила первые компьютеры Windows с поддержкой ‘Copilot+’, которые включали специальные функции, работающие на новом типе процессора под названием NPU. Этот NPU позволял определенным задачам искусственного интеллекта и машинного обучения выполняться непосредственно на компьютере, вместо того, чтобы полагаться на интернет, что потенциально делало все более безопасным и конфиденциальным.

💰

"Рынок красный? Это просто сезон скидок для умных инвесторов." - так говорят, чтобы не плакать. У нас — аналитика, которая помогает плакать реже.

Найти недооцененные активы

Одной из первоначальных функций Copilot+ была Recall, разработанная для того, чтобы помочь вам вспомнить, что вы делали на своем компьютере, делая скриншоты вашей активности. Однако, первая версия Recall имела серьезные недостатки в плане конфиденциальности и безопасности. Она сохраняла эти скриншоты, а также запись всего, что вы делали, в незашифрованных файлах на вашем компьютере. Это означало, что любой, кто получил доступ к вашему компьютеру – лично или удаленно – мог легко получить доступ к потенциально конфиденциальной информации за дни, недели или даже месяцы в прошлом.

В связи с опасениями, высказанными журналистами и экспертами по безопасности относительно первоначальных уязвимостей, Microsoft отложила запуск Recall почти на год и значительно улучшила его функции безопасности. Теперь все данные, сохраненные на вашем устройстве, будут зашифрованы и доступны только с помощью Windows Hello. Функция также лучше определяет и защищает конфиденциальную информацию, такую как финансовые данные, и будет отключена по умолчанию на совместимых ПК.

Обновленная функция Recall лучше, но постоянная запись всего, что вы делаете на своем компьютере, по-прежнему вызывает опасения по поводу безопасности и конфиденциальности. Исследователь в области безопасности Александр Хагенах, создатель оригинального инструмента ‘TotalRecall’ для легкого доступа к данным Recall на компьютерах Windows, выпустил обновленную версию под названием ‘TotalRecall Reloaded‘. По словам Хагенеха, эта новая версия раскрывает еще больше потенциальных уязвимостей в системе.

Согласно сообщению Hagenah на странице TotalRecall GitHub, безопасность самой базы данных Recall является надёжной. Однако, после того как пользователь входит в систему, она отправляет данные Recall в отдельную программу под названием AIXHost.exe, и эта программа не имеет тех же мер безопасности, что и остальная часть Recall, создавая уязвимость.

«Хранилище надёжно», — пишет Хагенах. «Грузовик — нет.»

TotalRecall Reloaded работает, тайно загружая файл в программу AIXHost.exe – и для этого не требуются права администратора. Затем она тихо работает в фоновом режиме, ожидая, пока вы откроете Recall и войдете в систему с помощью Windows Hello. Как только вы это сделаете, инструмент захватывает скриншоты, текст из изображений и другую информацию, которую Recall отправляет в AIXHost.exe, даже после того, как вы закроете Recall.

По словам Хагенаха, анклав VBS требует Windows Hello для расшифровки данных. Инструмент не обходит эту меру безопасности; вместо этого он работает, либо запрашивая у пользователя аутентификацию, работая вместе с существующим процессом аутентификации пользователя, либо просто ожидая, пока пользователь не аутентифицируется самостоятельно.

Несколько действий, связанных с функцией Recall, таких как получение последнего скриншота, сбор информации о базе данных Recall и удаление всей базы данных, не требуют входа с помощью Windows Hello.

После входа в систему Хагенах объясняет, что TotalRecall Reloaded может просматривать как вновь добавленную информацию, так и любые данные, уже хранящиеся в базе данных Recall.

Ошибка или нет, Recall все еще рискованно.

Microsoft утверждает, что открытие Хагенаха не является недостатком в их системе и, следовательно, не будет устранено. Хагенах впервые сообщил Microsoft о своих находках 6 марта, и компания официально определила, что это не проблема безопасности 3 апреля.

Microsoft благодарит Александра Хагенаха за указание на эту проблему и ответственное сообщение о ней. После изучения они обнаружили, что способ доступа к системе на самом деле работал в соответствии с проектом, с существующими мерами безопасности. Это не было взломом безопасности или несанкционированным доступом к данным. Система также имеет встроенную защиту, такую как тайм-ауты и ограничение скорости, для предотвращения злоупотреблений от вредоносных запросов, по словам представителя Microsoft.

Даже если Recall обычно безопасен, он всё же может представлять значительный риск для вашей конфиденциальности и безопасности. Если кто-то получит доступ к вашему компьютеру и вашему Windows Hello PIN, он сможет просмотреть всё, что хранится в Recall. Хотя Recall пытается отфильтровать конфиденциальную информацию, такую как финансовые данные, пользователь с доступом всё равно может увидеть ваши электронные письма, сообщения, историю просмотров и другие личные данные, которыми вы, возможно, не захотите делиться.

Несмотря на способность хранить огромное количество информации, Recall, похоже, несёт в себе много рисков, учитывая то, что он фактически предлагает.

Я с большим интересом слежу за внедрением функции Recall от Microsoft, но это также вызвало некоторые опасения по поводу конфиденциальности и безопасности. Дошло до того, что некоторые разработчики приложений активно блокируют Recall от захвата данных их приложений. Например, приложение Signal для Windows автоматически предотвращает индексирование Recall – они фактически используют системный флаг, обычно предназначенный для защиты DRM-контента! Это умный обходной путь, и я видел подобные подходы от AdGuard и браузера Brave. Это действительно показывает, насколько разработчики стараются предоставить пользователям больше контроля над этой функцией.

Смотрите также

2026-04-16 01:25