Alcune organizzazioni configureranno i propri sistemi Windows per richiedere Smart Card per tutti gli account di accesso, come parte di un'implementazione dell'autenticazione a due fattori. Tuttavia, questo può essere facilmente aggirato senza autenticazione a due fattori in determinate condizioni.
Il bypass richiede credenziali di amministratore (nome utente e password solo - smart card e PIN non richiesti) e accesso fisico al sistema o accesso al servizio di registro remoto del sistema.
Con l'accesso fisico al sistema, puoi fare molto di più che semplicemente disabilitare l'applicazione 2FA. Quindi questo è abbastanza poco preoccupante. L'angolo del registro remoto, d'altra parte, sembra essere un'interruzione significativa nel sistema.
L'accesso all'applicazione della Smart Card è gestito dal seguente elemento del Registro di sistema:
- Chiave:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System - Valore:
scforceoption - Impostazioni:
0per disattivato,1per abilitato.
Il registro remoto è comunemente usato negli ambienti aziendali per facilitare i servizi di monitoraggio e gestione centralizzati. Tuttavia, l'accesso al servizio Registro di sistema remoto richiede solo l'autenticazione a fattore singolo con nome utente e password. Dato:
- Il Registro di sistema remoto è abilitato sul computer di destinazione.
- Niente tra il computer locale e la destinazione sta bloccando il Registro di sistema remoto.
- Hai effettuato l'accesso localmente con un account nello stesso dominio, che dispone dei diritti di Adminsitrator sul computer di destinazione.
Il seguente comando ti consentirà facilmente di disabilitare l'applicazione della Smart Card su un target remoto, senza dover utilizzare una Smart Card per autenticarti:
reg add \[TargetHostName]\HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v scforceoption /t REG_DWORD /d 0
Con un uso intelligente di runas , non è nemmeno necessario effettuare il login localmente con l'account Administrator o utilizzare un sistema sullo stesso dominio. Finché disponi del nome utente e della password e puoi accedere al servizio Registro di sistema remoto, è possibile un bypass remoto dei criteri 2FA senza utilizzare 2FA.
Sebbene questa non sia di gran lunga la vulnerabilità più critica al mondo, sembra essere un punto debole nella politica di autenticazione a due fattori di Windows. Ci sono opzioni di configurazione che possono essere utilizzate per compensare questo - ad es .: attivare 2FA per il Registro di sistema remoto - senza dover effettivamente disabilitare il Registro di sistema remoto?