Все новости от 10 сентября 1999 г.

Действительно серьезная лазейка в Windows

В распространенном в понедельник электронном письме специалист консалтинговой фирмы Arca Systems Дэвид Личфилд (David Litchfield) описывает метод, при помощи которого можно получить полный доступ к машине. Microsoft признала, что она в курсе проблемы с момента начала поставок Windows 2000 Beta 3 в апреле. В версии Release Candidate 2, которая должна выйти на будущей неделе, лазейка будет закрыта .

Beta 3 — наиболее распространенная версия Windows 2000. Microsoft продает ее всем желающим бета-тестерам и заключила соглашение с некоторыми ОЕМ-производителями о ее предустановке на их системы. По данным Microsoft, с этой и следующей за ней версиями Beta 3 работает свыше 650 тыс. бета-тестеров.

Виновник — автологин
Источником проблемы защиты Windows 2000 является функция autologin, которую Microsoft ввела в первый выпуск Beta 3. На машинах, не подсоединенных к домену — включая подавляющее большинство домашних компьютеров — программа установки Windows 2000 автоматически создает учетную запись autologin, основываясь на введенной пользователем информации регистрации ПО. Эта запись имеет административные привилегии в системе и не требует пароля.

Сама по себе данная особенность не представляет большой проблемы — до тех пор, пока у атакующего нет физического доступа к машине. Если же встроенный в Windows 2000 сервер Telnet активен, достаточно воспользоваться командой nbtstat, чтобы найти учетную запись autologin и войти в систему, овладев полным контролем над компьютером. Что еще хуже, сервер Telnet можно незаметно активизировать простым скриптом на Visual Basic, спрятанным в любом HTML-документе.

Менеджер по защите NT из Microsoft Скотт Калп (Scott Culp) признал, что функция autologin представляет собой угрозу, но в последних версиях системы она, по его словам, удалена. Правда, он не смог назвать точный номер выпуска, в котором нет этой функции. «Это было средство упростить процесс входа для пользователей, имеющих надежный физический доступ к аппаратуре, но наши специалисты по защите быстро выявили связанные с этим проблемы и настояли на его удалении, — сказал Калп. — Важно помнить, что это опытный, а не коммерческий продукт. Выявление такого рода проблем и есть задача бета-тестирования»,

Калп признал и то, что удаленный пользователь может запустить сервер Telnet Windows 2000. Такая возможность сама по себе является серьезной угрозой безопасности, но Калп настаивает на том, что после удаления функции autologin она становится бесполезной для атакующего: «Ему нужно узнать имя и пароль, но… мы уже внесли изменения, мешающие это сделать».

Функция autologin не будет присутствовать в будущей версии Release Candidate 2. Вместо этого, как и в вышедшей в июле версии Release Candidate 1, пользователям предлагается ввести пароль.