Introduzione
Per anni gli utenti hanno voluto risparmiare tempo e fatica quando si accede ai server sulla rete, siti Web che richiedono credenziali, ecc. Quindi, ci sono state opzioni nel sistema operativo per salvare nomi utente e password per un accesso più rapido e facile. Sono sicuro che hai visto questo, in un prompt o in una casella di controllo, che ti chiede di salvare la password. In Windows si ha la possibilità di memorizzare le credenziali per le risorse a cui si accede spesso, o semplicemente non si vuole avere a ricordare la password. Anche se questa è un’opzione di risparmio di tempo, si potrebbe desiderare di riconsiderare l’utilizzo di questa funzione a causa di problemi di sicurezza.
Dove posso trovare questa funzione?
Questa funzione è iniziata intorno a Windows XP e si è evoluta da quel momento. L’evoluzione è nel nome e nelle funzionalità fornite per la funzionalità. In Windows XP la funzione è stata chiamata Nomi utente e password memorizzati. È possibile accedere a questa funzione dalla scheda Avanzate nella finestra di dialogo Account utente. Nella scheda Avanzate si farà clic sul pulsante Gestisci password per accedere ai nomi utente memorizzati e l’interfaccia password.
Windows 7 cambia leggermente in quanto ora c’è un’interfaccia diversa, un nome diverso per la funzione, ecc. Inoltre, le password vengono memorizzate in modo diverso in Windows 7, che si trova in un caveau. Per accedere a queste credenziali memorizzate, o per memorizzare una credenziale da soli, si può andare al Account utente snap-in nel pannello di controllo, quindi selezionare l’opzione Gestisci le tue credenziali sul pannello di sinistra, come mostrato in Figura 1.
Figura 1: Gestisci le mie credenziali all’interno degli account utente snap-in
In sostanza, questo apre Credential Manager, che può anche essere eseguito dalla casella di testo Avvia ricerca quando si fa clic sul pulsante Start. Quando si memorizzano le credenziali su un computer Windows 7, vengono memorizzate in C:\Users\UserName\AppData\Roaming\Microsoft\Credentials. I file che memorizzano le credenziali sono crittografati, quindi questo è almeno un vantaggio!
Si noti qui che TUTTE le credenziali create in Gestione credenziali creano un file nella cartella Credenziali sotto il profilo utente elencato sopra. Tuttavia, quando le credenziali vengono immesse per le credenziali di Windows, vengono anche memorizzate in C:\Users\UserName\AppData\Local\Microsoft\Vault.
Comando Windows Vault
Per accedere al Vault delle password su un computer Windows 7 (e Windows Server 2008 R2), è possibile utilizzare vaultcmd.comando exe da un prompt dei comandi. Questo strumento consente di gestire le credenziali che si trovano nel vault e persino crearne di nuove. È possibile visualizzare l’elenco degli switch disponibili per vaultcmd in Figura 2.
Figura 2: comando Vaultcmd e interruttori.
Se mettiamo questi comandi da usare, puoi vedere come vengono memorizzate e accessibili le credenziali. Nel nostro esempio, memorizzeremo le credenziali di accesso come utente denominato xpuser. Xpuser è un utente di dominio in beyondtrust.dominio demo. L’utente ha già memorizzato le credenziali per un controller di dominio denominato server1. Le credenziali che questo utente ha memorizzato sono per un utente di dominio (che sembra essere un amministratore di dominio) chiamato Derek.
Per visualizzare le credenziali dell’utente attualmente connesso è possibile eseguire il comando set con l’interruttore username, che può essere visto in Figura 3.
Figura 3: Utente attualmente connesso utilizzando il comando set.
Utilizzando il comando vaultcmd, possiamo vedere le credenziali che questo utente ha già salvato. Ciò si ottiene utilizzando l’interruttore elenco, che può essere visto in Figura 4.
Figura 4: Comando Vaultcmd utilizzando l’interruttore elenco.
È quindi possibile visualizzare il contenuto di ciascun vault utilizzando l’opzione listproperties, seguita dall’opzione listcreds per visualizzare le credenziali all’interno di ciascun vault. Entrambi possono essere visti in Figura 5.
Figura 5: Comando Vaultcmd che utilizza sia le opzioni listproperties che listcreds.
Come puoi vedere da tutti questi comandi usando vaultcmd, il contenuto dei vault può essere di facile accesso. Ancora una volta, si noti che le password non vengono visualizzate, ma queste “credenziali alternative” possono essere sfruttate da chiunque possa accedere a questo computer con l’utente xpuser connesso.
Motivi per non utilizzare questa funzionalità
Abbiamo visto come il vault memorizza le credenziali e come il comando vaultcmd può accedere a queste credenziali e informazioni su di esse. Tuttavia, questa funzione è sicura da usare? Considera il seguente scenario.
Xpuser ha memorizzato le credenziali sul suo computer Windows 7 per quando ha bisogno di accedere a Server1, che è un controller di dominio. Le credenziali salvate utilizzando Credential Manager sono per Derek, che Derek è un amministratore di dominio. Se xpuser lascia mai il computer, in questo caso chiamato xpclient, sbloccato, chiunque si avvicini a xpclient può accedere anche a Server1 come amministratore di dominio.
Nel nostro scenario, che è quello che abbiamo esposto usando vaultcmd sopra, puoi vedere chiaramente che questo può essere un problema. Per dimostrarlo, diamo un’occhiata più da vicino al nostro scenario. Il nostro utente, xpuser, ha effettuato l’accesso e si allontanò dal computer. Un altro utente, Betty, si avvicina a xpclient, con xpuser connesso e tenta di effettuare una connessione a server1. Si può vedere in Figura 6 che questa connessione è fatta facilmente.
Figura 6: Connessione a server1 con xpuser connesso, ma credenziali salvate su server1.
Come puoi vedere, con solo l’utente connesso e le credenziali salvate, l’attaccante potrebbe raccogliere tutte le informazioni di cui ha bisogno con vaultcmd e quindi sfruttare il computer che ha le credenziali salvate.
Sommario
Credential Manager e la possibilità di salvare le credenziali su un computer Windows 7 è potente, ma forse un enorme exploit. Spesso gli utenti che utilizzeranno questa funzione non sono all’interno del gruppo IT, ma certamente potrebbero causare un buco di sicurezza significativo all’interno dell’organizzazione. Anche se l’utente non è nel gruppo IT, ma potrebbe essere in finanza, HR, o un dirigente, il fatto che le credenziali vengono salvate sul computer diventa un problema come descritto in questo articolo. Per anni gli utenti hanno voluto modi per avere il loro nome utente e la password salvati sul computer o in qualche modo che non sono responsabili per digitare le proprie credenziali ogni volta. Tuttavia, ci sono rischi evidenti per questa funzione, che devono essere pesati nell’ambiente in cui vengono salvati. Per le aziende, il salvataggio delle credenziali non è una buona idea a causa dell’esposizione dei desktop e del fatto che gli utenti non possono essere considerati affidabili per non bloccare il proprio computer quando si allontanano da esso.