特集
カテゴリー
タグ
メディア

Windows 10の「秘密の質問」が不要なら、無効にしたほうが安全かも

Windows 10の「秘密の質問」が不要なら、無効にしたほうが安全かも
Image: Lifehacker US

Windows10でパスワードを回復するときに使う「セキュリティの質問」は、一年以上前からある機能ですが、ふだんMicrosoftアカウントを使ってOSにログインしている人は、その存在を知らないかもしれません。

Windowsをインストールするときにローカルアカウントを使うと、セキュリティの質問を3つ設定するように促されます。この質問を使えば、パスワードを忘れてしまったときに、パスワードをリセットすることができます。

20181217-securityquestion02
Image: Lifehacker US

秘密の質問を設定していてもハッキングされる恐れがある

便利そうでしょ? しかし残念なことに、以前にも説明したとおりこの「セキュリティの質問」はあなたのアカウントのセキュリティにあまり貢献はしていません。

ハッカーは、あなたの高校の名前や、犬のミドルネームを推測しようと汗水をたらしたりはしません。そのかわり、このセキュリティの質問を、バックドアとして利用します。

ハッカーは、一度あなたのアカウントに侵入すれば、あなたの代わりに新しいセキュリティ質問を設定して、以降それを使って、永続的にシステムに侵入することができます。

このやり方は、最近、情報セキュリティの国際会議「Black Hat Europe Security Conference」で、セキュリティ研究者のグループがプレゼンテーションで説明したシナリオとまったく同じだと、米メディア「Ars Technica」が書いています。

研究者らが指摘した問題は、このパスワードリセット質問が、設定するのは非常に容易でありながら、何千台ものコンピューターで構成されたネットワークにおいては、監視するのが非常に困難であるという点です。

管理者権限を持った個人が、遠隔操作で任意のWindows10マシンのセキュリティ質問を設定したり、変更することができる一方で、そうした変更を監視し、変更し直す簡単な方法はありません。

悪意あるユーザー(不正に管理者権限を入手した悪い従業員やハッカー)が、セキュリティの質問をバックドアとして利用すれば、管理者権限を失ってもすぐに取り戻すことが可能となります。

ありがたいことに、研究者ら(Illusive NetworksのMagal Baz氏とTom Sela氏)が、Windowsの「セキュリティの質問」を永久に無効にできるPowerShellスクリプトを作成したということです。

秘密の質問を無効にする方法

こちらから ps1ファイルをダウンロードして、自分のWindows 10オペレーティングシステムでPowershellを起動し、 ps1ファイルが格納されているフォルダまで移動して、次のコマンドをタイプすれば、セキュリティの質問を無効にすることができます。

Update-AllUsersQA

このコマンドを実行すると、Windows 10のログイン画面で、[パスワードのリセット]オプションを選択しようとすると、エラーメッセージが表示されるようになります。

20181217-securityquestion03
Image: Lifehacker US

パスワードを回復する手段は残しておきたいが、その機能が動作しているということは隠しておきたい場合は、次のコマンドを実行してください(SecretAnswerのところは、自分のセキュリティの答えに置き換える)。

Update-AllUsersQA -answer SecretAnswer

パスワードを回復しようとすると、「This feature is disabled(この機能は無効です)」という警告が表示されますが、無視して、作業を進めてかまいません。これで少しは安全性が高まったはずです。

20181217-securityquestion03-1
Image: Lifehacker US

あわせて読みたい

「大文字と小文字を必ず使ってください」はパスワードを脆弱にしている

2020年にAdobe Flash Playerのサポートが終了。今から無効にしてもいいかも

Image: Lifehacker US

David Murphy - Lifehacker US[原文

swiper-button-prev
swiper-button-next