Tento hackerský nástroj extrahuje všechna data shromážděná novou umělou inteligencí Windows Recall

Hagenah říká, že útočník by mohl získat obrovské množství informací o svém cíli, včetně náhledů na jejich e-maily, osobní konverzace a jakékoli citlivé informace, které Recall zachytil.

Hagenahova práce staví na zjištěních výzkumníka v oblasti kybernetické bezpečnosti Kevina Beaumonta, který podrobně popsal, kolik informací Recall zachycuje a jak snadné může být je extrahovat. Beaumont také říká, že vytvořil webovou stránku, kam lze nahrát databázi Recall a okamžitě ji prohledávat. Říká, že stránky ještě neuvolnil, aby měl Microsoft čas na případnou změnu systému. „Trojské koně InfoStealer, které automaticky kradou uživatelská jména a hesla, jsou velkým problémem již více než deset let – nyní je lze jednoduše upravit tak, aby podporovaly Recall,“ píše Beaumont.

Kritika přichází, když hackování systémů Microsoftu vedlo k různým narušením dat vlády USA; Nadella řekl, že zabezpečení by mělo být pro Microsoft „nejvyšší prioritou“. Microsoft nereagoval na žádost WIRED o komentář k bezpečnostním funkcím Recall do doby zveřejnění.

Na stránkách ochrany osobních údajů aplikace Recall je uvedeno, že je možné zakázat ukládání snímků obrazovky (účinně vypnout funkci Recall), dočasně pozastavit systém, filtrovat aplikace, kde se snímky obrazovky pořizují, a kdykoli smazat to, co se shromáždí. Recall běží na samotném notebooku, data, která zachytí, ukládá na zařízení a neodesílá tyto informace na servery Microsoftu. Hagenah říká, že toto tvrzení se zdá být pravdivé, bez známek toho, že by byla data odesílána Microsoftu.

Microsoft si je alespoň vědom některých možných problémů souvisejících s ochranou soukromí a zabezpečením s Recall: Na jeho stránkách nápovědy se uvádí, že systém neprovádí žádné moderování obsahu toho, co je obsaženo v ukládaných obrázcích. To znamená, říká Microsoft v průvodci, že nebude „skrývat informace, jako jsou hesla nebo čísla finančních účtů“. Bezpečnostním výzkumníkům se již podařilo získat hesla z aplikace Recall.

Hlavní databáze aplikace Recall je uložena v systémovém adresáři notebooku, a přestože k přístupu potřebuje administrátorská práva, útoky na eskalaci privilegií existují již léta, takže útočníkovi teoreticky umožňuje získat počáteční přístup k zařízení na dálku.

Hagenah říká, že v případech zaměstnavatelů se zásadami „přineste si svá vlastní zařízení“ existuje riziko, že někdo odejde s obrovskými objemy firemních dat uložených na jejich laptopech. To je zvláštní riziko, pokud jsou nespokojení nebo odcházejí za špatných podmínek, říká. Britský regulátor pro ochranu dat, Information Commissioner’s Office, požádal Microsoft, aby poskytl další podrobnosti o Recall a jeho soukromí.

Zatímco funkce Recall zůstává jako „náhledová“ funkce a podle malého písma Microsoftu by se mohla před uvedením na trh změnit, Beaumont ve svém výzkumu píše, že společnost „by měla stáhnout funkci Recall a přepracovat ji tak, aby byla funkcí, kterou si zaslouží být dodána v co nejkratším čase. pozdější datum.“ Dodává: „Musí také přezkoumat interní rozhodování, které k této situaci vedlo, protože takové věci by se neměly stávat.“