Como posso impedir que o Ambiente de Recuperação do Windows seja usado como uma porta dos fundos?

Question

No Windows 10, o Ambiente de Recuperação do Windows (WinRE) pode ser iniciado cortando repetidamente a energia do computador durante a seqüência de inicialização. Isso permite que um invasor com acesso físico a uma máquina de desktop ganhe acesso administrativo à linha de comando. Nesse ponto, eles podem visualizar e modificar arquivos, redefinir a senha administrativa usando várias técnicas e assim por diante.

(Note que se você iniciar o WinRE diretamente, você deve fornecer uma senha administrativa local antes de lhe dar acesso à linha de comando; isso não será aplicado se você iniciar o WinRE interrompendo repetidamente a seqüência de inicialização. A Microsoft confirmou que não considera isso como uma vulnerabilidade de segurança.

Na maioria dos cenários, isso não importa, porque um invasor com acesso físico irrestrito à máquina geralmente pode redefinir a senha da BIOS e obter acesso administrativo inicializando a partir de mídia removível. No entanto, para máquinas de quiosque, em laboratórios de ensino e assim por diante, geralmente são tomadas medidas para restringir o acesso físico por meio, por exemplo, de cadeado e / ou alarme das máquinas. Seria muito inconveniente ter que também tentar bloquear o acesso do usuário tanto ao botão de energia quanto à tomada da parede. A supervisão (seja pessoalmente ou através de câmeras de vigilância) pode ser mais eficaz, mas alguém usando essa técnica ainda seria muito menos óbvio do que, por exemplo, alguém tentando abrir o gabinete do computador.

Como o administrador do sistema pode impedir que o WinRE seja usado como uma porta dos fundos?

Adendo: se você estiver usando o BitLocker, já estará parcialmente protegido dessa técnica; o invasor não poderá ler ou modificar arquivos na unidade criptografada. Ainda seria possível para o invasor limpar o disco e instalar um novo sistema operacional ou usar uma técnica mais sofisticada, como um ataque de firmware. (Até onde eu sei, as ferramentas de ataque de firmware ainda não estão amplamente disponíveis para atacantes casuais, então esta provavelmente não é uma preocupação imediata.)

    

Answer 1

Você pode usar reagentc para desabilitar o WinRE:

reagentc /disable

Consulte a documentação da Microsoft para obter um comando adicional opções de linha.

Quando o WinRE é desativado desta forma, os menus de inicialização ainda estão disponíveis, mas a única opção disponível é o menu Configurações de inicialização, equivalente às opções de inicialização antigas do F8.

Se você estiver executando instalações autônomas do Windows 10 e quiser que o WinRE seja desativado automaticamente durante a instalação, exclua o seguinte arquivo da imagem de instalação:

\windows\system32\recovery\winre.wim

A infra-estrutura do WinRE ainda está em vigor (e pode ser reativada posteriormente usando uma cópia da ferramenta de linha de comando winre.wim e reagentc ), mas será desativada.

Observe que a configuração Microsoft-Windows-WinRE-RecoveryAgent em unattend.xml parece não ter nenhum efeito no Windows 10. (No entanto, isso pode depender de qual versão do Windows 10 você está instalando; eu só testei na ramificação LTSB da versão 1607.)

    

Answer 2

Use o BitLocker ou qualquer outra criptografia de disco rígido. É a única maneira confiável e verdadeiramente segura de alcançar o que você quer.

    

Answer 3

Bit Locker também funciona no caso quando alguém rouba seu disco rígido e usa isso como sua unidade secundária em seu PC para que PC inicialize com seu sistema operacional e disco rígido secundário como uma unidade só não requer qualquer senha e se não está sendo protegido pelo BitLocker, qualquer um pode explorar facilmente seu conteúdo, Por favor, tenha cuidado ao tentar isso, porque a repetição desse comportamento causa sérios danos nos dados.

Sempre use criptografia para evitar esse tipo de problema. Por favor, leia isto para mais informações sobre criptografia de disco.

Criptografia de disco