Microsoft поделилась подробностями об улучшении безопасности Windows Recall

Новость с портала Community

Компания Microsoft опубликовала подробную статью, в которой рассказала о всех ключевых улучшениях безопасности функции Windows Recall. Изменения призваны устранить потенциальные уязвимости и обеспечить конфиденциальность пользовательских данных.

Основные улучшения:

  • Данные Recall теперь хранятся в зашифрованном виде в изолированной среде VBS Enclave.
  • Снимки автоматически удаляют пароли, данные банковских карт и национальных удостоверений личности.
  • Для доступа к данным Recall каждый раз требуется аутентификация с помощью Windows Hello.
  • Recall не является обязательной функцией. Он отключён по умолчанию и может быть полностью удален из операционной системы.

Напомним, что для работы функции Recall по-прежнему требуется нейронный процессор (NPU) с производительностью не менее 40 TOPS. Это необходимо для локальной обработки задач искусственного интеллекта. Устройства, соответствующие данному требованию, имеют маркировку ПК Copilot+.

Microsoft поделилась подробностями об улучшении безопасности Windows Recall

Изолированная среда VBS Enclave

Теперь все данные, собранные функцией Recall, будут храниться в изолированной зашифрованной среде VBS Enclave. Фактически это защищенная виртуальная машина, изолированная от основной операционной системы. Доступ к данным внутри VBS Enclave возможен только с помощью ключа дешифрования, который приложение Recall предоставляет пользователю после успешной аутентификации через Windows Hello.

Все конфиденциальные данные всегда зашифрованы, а ключи надежно защищены.

Ключевые процессы Recall, такие как создание и обработка скриншотов, а также база данных векторов, теперь выполняются внутри VBS Enclave.

Фактически, мы поместили Recall в изолированную виртуальную машину, так что даже администраторы системы не смогут взаимодействовать с этой виртуальной машиной, запускать в ней код или просматривать данные.

Дэвид Уэстон

Это главное изменение в Windows Recall, гарантирующее, что собираемые данные будут надёжно сохранены на вашем устройстве и не будут доступны никому, кроме вас. Даже Microsoft не сможет получить доступ к данным внутри VBS Enclave. Кроме того, Recall ограничивает количество попыток доступа к зашифрованным данным, предотвращая возможность взлома методом перебора.

Аутентификация через Windows Hello

Теперь Windows Recall требует активного присутствия пользователя и использует систему аутентификации Windows Hello. Это означает, что даже при физическом доступе к устройству злоумышленник не сможет получить доступ к данным Recall без вашего присутствия и аутентификации.

Пользователь дожен присутствовать, чтобы настроить Recall, и он должен присутствовать, чтобы расшифровать что-либо. Именно ео личность позволяет получить ключи шифрования.

Ключи шифрования хранятся в TPM (Trusted Platform Module) и доступны только после успешной биометрической аутентификации.

Ключи не покидают пределов защищенного Enclave, они надежно защищены внутри Enclave.

Ваши скриншоты, база данных векторов и всё, что вы считаете конфиденциальной информацией, хранится внутри Enclave. За его пределы информация передается в небольших объёмах только по запросу и после авторизации пользователя.

Дэвид Уэстон
Microsoft поделилась подробностями об улучшении безопасности Windows Recall

Автоматическая фильтрация конфиденциальных данных

Кроме этого, Microsoft добавила новую функцию в процесс создания снимков экрана, которая автоматически отфильтровывает конфиденциальную информацию, будь то пароли, номера банковских карт или национальных удостоверений личности, при помощи технологии Purview. Анализ данных производится на локальном устройстве.

Это означает, что даже если злоумышленник сможет ненадолго получить доступ к VBS Enclave, он не сможет найти в базе большое количество конфиденциальной информации.

Обработка на локальном устройстве

Microsoft в очередной раз подчёркивает, что созданные снимки экрана и полученные данные не передаются в облако. Windows Recall полностью функционирует на локальном устройстве, и именно для этого функции необходим компьютер с нейронным процессором (NPU).

Мы не передаем эту информацию куда-либо.

Microsoft не имеет возможности расшифровать эти данные, даже если бы мы захотели.

Единственная информация, отправляемая обратно, — это базовые диагностические данные для исправления ошибок и отзывы пользователей.

Дэвид Уэстон

Все данные, собранные Recall, хранятся на устройстве пользователя и не передаются куда-либо. В любой момент вы можете легко отфильтровать их или удалить.

Windows Recall можно полностью удалить из ОС

Теперь функция Windows Recall является необязательной и может быть полностью удалена из операционной системы, если вы не хотите, чтобы она присутствовала в каком-либо виде.

На этапе первоначальной настройки устройства ПК Copilot+ пользователям будет предложено включить Windows Recall. Если это не сделать, то функция останется отключённой. На данный момент компания не намерена автоматически включать Windows Recall на устройствах пользователей или повторно предлагать пользователям включить её.

Насколько мне известно, нет планов включать эту функцию по умолчанию или просить пользователей повторно включить ее.

Дэвид Уэстон
Microsoft поделилась подробностями об улучшении безопасности Windows Recall

Также подтверждено, что Windows Recall не будет установлена по умолчанию в Windows 11 Enterprise. Это необязательный компонент ОС, поэтому корпоративные клиенты вправе сами решать, будут они устанавливать его или нет. По умолчанию в образе ОС он отсутствует.

В корпоративной версии Windows 11 компоненты Recall отсутствуют.

Это необязательный компонент, требующий установки. По умолчанию он не присутствует в системе.

Дэвид Уэстон

Microsoft утверждает, что работодатели не смогут использовать Windows Recall для слежки за действиями сотрудников.

Работодатель не сможет получить доступ к этой информации. Она полностью зашифрована и доступна только авторизованному пользователю.

Дэвид Уэстон

Публичное тестирование

Ожидается, что публичное тестирование Windows Recall начнётся в октябре. Вначале доступ к функции получат пользователи устройств ПК Copilot+ с ARM-процессорами Snapdragon X. Чуть позже к тестированию смогут присоединиться обладатели устройств с новейшими процессорами от Intel и AMD.

44
5 комментариев

Обычным Copilot иногда пользуюсь. Посмотрим и на это.
Только непонятно с системными требованиями. Где эти NPU сейчас есть.

Ответить

На ПК, NPU будет только в грядущих Intel Core Ultra 200 (Arrow Lake), но там NPU от мобильных Core Ultra 100 (Meteor Lake), где производительность ниже необходимой для работы Recall

У AMD только в мобильном сегменте есть NPU, но ни один не подходит, а новые Ryzen AI вроде обладают необходимой производительностью, но не сертифицированы

На данный момент Recall доступен только для Qualcomm Snapdragon X Elite (ARM), ну и нужно помнить что Recall это часть Windows 11 версии 24H2

1
Ответить

Смешно конечно в наше время про безопасность слышать. Интернет уже такой дырявый, что в него слиты данные буквально каждого человека который там постоянно сидит

Ответить