IT之家 4 月 16 日消息，科技媒體 NeoWin 昨日（4 月 15 日）發(fā)布博文，報(bào)道稱針對(duì) TotalRecall 工具發(fā)現(xiàn) Windows 11 系統(tǒng)的“回顧”（Recall）功能存在安全問題，微軟（MSFT）回應(yīng)稱這不構(gòu)成安全繞過。
IT之家注：Recall 是 Windows 11 系統(tǒng)中的一項(xiàng)爭(zhēng)議功能，通過定期截取屏幕快照記錄用戶操作歷史，支持自然語(yǔ)言搜索歷史內(nèi)容。
該功能自問世以來(lái)就備受爭(zhēng)議，屏幕快照包含敏感信息（密碼、郵件等），一旦泄露將造成嚴(yán)重隱私風(fēng)險(xiǎn)。微軟（MSFT）曾因安全漏洞被迫撤回并重新設(shè)計(jì)安全機(jī)制，加入加密存儲(chǔ)和 Windows Hello 認(rèn)證保護(hù)。
但最新研究表明，這些安全措施仍不足以保護(hù)用戶隱私。安全研究員 Alexander Hagenah 在 GitHub 發(fā)布了更新版工具 TotalRecall，證明 Windows Recall 抓取的數(shù)據(jù)仍處于不安全狀態(tài)。
Hagenah 指出 Recall 的安全保險(xiǎn)庫(kù)本身足夠堅(jiān)固，但 Windows 11 交付數(shù)據(jù)的機(jī)制卻極易被破解，TotalRecall 可利用 AIXHost.exe 進(jìn)程獲取用戶快照。
Hagenah 表示負(fù)責(zé)渲染 Recall 時(shí)間線的進(jìn)程既沒有 PPL（受保護(hù)進(jìn)程輕量級(jí)）保護(hù)，也沒有 AppContainer 沙箱隔離，更缺乏代碼完整性強(qiáng)制執(zhí)行。這意味著一旦用戶通過 Windows Hello 完成認(rèn)證，攻擊者便可注入代碼并提取數(shù)據(jù)。
攻擊原理相當(dāng)隱蔽：惡意程序在后臺(tái)靜默等待用戶認(rèn)證，隨后在用戶正常使用 Recall 時(shí)竊取數(shù)據(jù)。由于 AIXHost.exe 無(wú)法驗(yàn)證調(diào)用者身份，進(jìn)程內(nèi)的所有內(nèi)容都被視為可信。
更嚴(yán)重的是，TotalRecall Reloaded 甚至無(wú)需觸發(fā) Windows Hello 認(rèn)證，就能檢索最新的緩存快照。
Hagenah 在公開發(fā)現(xiàn)前已將結(jié)果提交給微軟（MSFT），但公司回應(yīng)稱 TotalRecall 并不代表任何繞過方式或安全漏洞。
他認(rèn)為微軟（MSFT）應(yīng)當(dāng)通過加固交付機(jī)制、確保渲染進(jìn)程安全來(lái)改進(jìn)系統(tǒng)。目前 TotalRecall Reloaded 已在 GitHub 公開，感興趣的用戶可以前往研究。
