Quando a Microsoft tentou lançar o Recall, um recurso do Windows com tecnologia de IA que captura a maior parte da sua atividade no PC, ele foi rotulado como um “desastre” para a segurança cibernética e um “pesadelo para a privacidade”. Após a reação negativa e um atraso de um ano no redesenho e na proteção da Recall, a Recall está mais uma vez enfrentando problemas de segurança e privacidade.
O especialista em segurança cibernética Alexander Hagenah o criou TotalRecall recarregadoferramenta que extrai e exibe dados do Recall. Esta é uma atualização da ferramenta TotalRecall que mostra todos os pontos fracos do recurso Recall original antes de a Microsoft o redesenhar.
O redesenho da Microsoft se concentra na criação de um cofre seguro para dados do Recall, com autenticação do Windows Hello e um ambiente seguro por meio de Enclaves de segurança baseados em virtualização. O Recall exige que os usuários se autentiquem usando seu rosto ou impressão digital para obter acesso aos dados e permitir a gravação de fotos. “Isso limita os esforços de malware latente que tenta ‘em conjunto’ com a autenticação do usuário para roubar dados”, disse a Microsoft em um comunicado. Postagem do blog de setembro de 2024.
“Minha pesquisa mostra que o cofre é real, mas os limites da confiança terminam prematuramente”, disse Hagenah. “TotalRecall Reloaded traz esse ‘malware latente’ junto.” A ferramenta TotalRecall Reloaded pode ser executada silenciosamente em segundo plano e ativar a linha do tempo Recall para forçar os usuários a se autenticarem com comandos do Windows Hello. Depois que a autenticação for realizada, o TotalRecall Reloaded poderá extrair tudo o que já foi recuperado pelo Windows Recall. “Esse é o cenário que a arquitetura da Microsoft deveria limitar”, Hagenah disse.
O Recall salva mais do que apenas capturas de tela, com um histórico de texto que aparece na tela, mensagens, e-mails, documentos, histórico de navegação e muito mais. As mudanças da Microsoft na segurança do Recall ocorrem meses depois que o CEO Satya Nadella disse aos funcionários: “Se você se depara com uma troca entre segurança e outras prioridades, sua resposta é clara: opte pela segurança”.
Hagenah divulgou de forma responsável suas últimas descobertas à Microsoft no mês passado, mas a empresa fechou o relatório e disse que não havia vulnerabilidades. “Aplaudimos Alexander Hagenah por identificar e relatar este problema de forma responsável. Após uma investigação cuidadosa, determinamos que os padrões de acesso demonstrados eram consistentes com as proteções pretendidas e os controles existentes e não representavam uma violação dos limites de segurança ou acesso não autorizado aos dados”, disse David Weston, vice-presidente corporativo de segurança da Microsoft, em comunicado ao Borda. “Os períodos de autorização têm limites de tempo e proteções anti-martelo que limitam o impacto de consultas maliciosas.”
Numa mensagem para BordaHagenah contesta a proteção do limite de tempo da Microsoft. “Consegui pesquisar novamente os dados e o que fiz com minha ferramenta foi analisá-los. E o limite de tempo foi fixado”, disse Hagenah. “Meu maior problema é que eles dizem em seu anúncio oficial que o enclave impede a ‘participação de malware latente’, quando isso não acontece.”
TotalRecall Reloaded também pode extrair as capturas de tela mais recentes do Windows Recall em cache sem autenticação do Windows Hello ou excluir todo o histórico de captura. Mas o tipo de malware descrito por Hagenah pode ficar no fundo de um PC e ainda fazer capturas de tela, com ou sem o Windows Recall.
A Microsoft não acredita que haja uma vulnerabilidade aqui porque é assim que o Windows funciona. Os processos regulares do modo de usuário têm a capacidade de injetar código em si mesmos como um comportamento normal e muitas vezes legal no Windows, mas essa flexibilidade também cria oportunidades para abusos.
Malware infostealer semelhante pode ocultar e exfiltrar seus dados 1Password ou histórico de navegação, se não for detectado por várias ferramentas de segurança do Windows e outros esforços de proteção de memória. A maior preocupação é que o Recall armazene dados mais confidenciais do que apenas senhas ou histórico de navegação, e a promessa inicial da Microsoft de que o Recall protestaria contra malware em execução em segundo plano.
Apesar dessas preocupações, a Microsoft está fazendo muito com o redesenho do Recall. “A área da EBF é muito sólida”, disse Hagenah. “O modelo de autenticação é sem estado e sem raça (milhares de sondagens, sem desvio).” Hagenah acredita que a Microsoft pode e deve ir além para cumprir suas metas de design de segurança para o Recall. “O problema fundamental não é criptografia, enclaves, autenticação ou PPL”, disse ele. “Ele envia o conteúdo descriptografado para um processo de renderização desprotegido. A porta do cofre é feita de titânio. A parede próxima é feita de drywall.”
