研究人员称 Copilot+ 召回是“十年来最愚蠢的网络安全举措

阅读量47968

发布时间 : 2024-06-03 10:47:32

微软 Windows 计划为 Copilot+ PC 推出一项名为“Recall”的新功能,网络安全研究人员和隐私权倡导者称其为一场安全和隐私噩梦。

Copilot Recall 将默认启用,并将捕获用户活动的频繁屏幕截图或“快照”,并将其存储在与用户帐户绑定的本地数据库中。新功能可能泄露个人和敏感数据,这引起了安全和隐私倡导者的警惕,甚至引发了英国对这一问题的调查。

Copilot 召回隐私和安全声明受到质疑
在Mastodon上关于该新功能的长帖中,Windows 安全研究员 Kevin Beaumont 写道:“我说这是十年来最愚蠢的网络安全举措,并非夸张。祝愿我的父母能够安全使用他们的电脑。”

在有关 Recall 安全性和隐私的博客文章中,微软表示,处理和存储仅在本地设备上进行,并且经过加密,但即使是微软自己的解释也引发了担忧:“请注意,Recall 不会执行内容审核。它不会隐藏密码或财务账户号码等信息。这些数据可能以快照的形式存储在您的设备上,尤其是当网站不遵循标准互联网协议(如隐藏密码输入)时。”

安全和隐私倡导者对数据安全地存储在本地设备上的说法提出质疑。如果有人知道用户的密码,或者法院下令将数据移交给法律或执法部门,那么使用 Recall 后暴露的数据量可能比没有 Recall 时暴露的数据量大得多。家庭暴力情况可能会恶化。黑客、恶意软件和信息窃取者将能够访问比没有 Recall 时多得多的数据。

博蒙特表示,截图存储在 SQLite 数据库中,“你可以以用户身份访问它,包括通过编程。它 100% 不需要物理访问,而且可以被窃取。”

他发布了一段视频(重新发布如下),称两名微软工程师轻而易举地获得了 Recall 数据库文件夹的访问权限,“并且 SQLite 数据库就在那里”。

博蒙特在另一篇博客中表示,他自己使用现成的信息窃取程序和 Microsoft Defender for Endpoint 进行了测试(检测到了信息窃取程序),“等到自动补救措施启动时(花了十多分钟),我的召回数据早已不见了。”

他总结道:“Recall 可以让威胁行为者在几秒钟内自动抓取你曾经查看过的所有内容。”

Recall 有 Cloud Hook 吗?
博蒙特还质疑微软声称所有这些都是在本地完成的。“因此,Copilot+ Recall 的基础代码包括大量 Azure AI 后端代码,这些代码最终出现在 Windows 操作系统中,”他在 Mastodon 上写道。“它还有大量用于用户活动监控的 API 挂钩。

“这打开了很多攻击面。……他们真的全力以赴,这将对使用微软 Windows 用户的安全产生深远的负面影响。”

数据可能无法完全删除
并且用户删除的敏感数据仍会保存在Recall截图中。

“没有功能可以删除您在使用 PC 时删除的内容的屏幕截图,”Beaumont 说。“您必须记得每隔几秒钟就去清除 Recall 制作的屏幕截图。如果您或您的朋友在 WhatsApp、Signal 等中使用了“消失消息”,则无论如何都会被记录下来。”

一位评论者表示,Copilot Recall 似乎也引发了合规性问题,部分原因是它创建了额外的不必要数据,而这些数据可能会被删除。“这完全不符合 PCI 和 GDPR 标准,SOC2 控制列表看起来也不太好,”这位评论者说。

Dragos 事件响应总监 Leslie Carhart 回应说“这种愤怒和怀疑是合理的。”

第二位评论者指出,“GDPR 有一个非常简单的概念:数据最小化。简而言之,只存储您实际上有合法、合法目的的数据;并且只在必要时存储。就这一点而言,这在两方面都以惊人的方式失败了。它将存储大量没有特定目的的数据,可能存储的时间远远超过对这些数据的任何合理使用。”

微软是否会在 Recall 正式发布前对其进行修改以平息人们的担忧,还有待观察。如果不这样做,安全和隐私专家可能会发现自己比以往任何时候都更加忙碌。

本文转载自:

如若转载,请注明出处: https://thecyberexpress.com/copilot-recall-cybersecurity/

安全客 - 有思想的安全新媒体

分享到:微信
+12赞
收藏
安全客
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66