introdução
durante anos, os usuários queriam economizar tempo e esforço ao acessar servidores na rede, sites que exigem credenciais, etc. Portanto, houve opções no sistema operacional para salvar nomes de usuário e senhas para acesso mais rápido e fácil. Tenho certeza de que você viu isso, seja em um prompt ou em uma caixa de seleção, solicitando que você salve a senha. No Windows, você tem a capacidade de armazenar as credenciais de recursos que acessa com frequência ou simplesmente não deseja ter que lembrar a senha. Embora esta seja uma opção de economia de tempo, talvez você queira reconsiderar o uso desse recurso devido a problemas de segurança.
Onde Posso Encontrar Esse Recurso?
este recurso começou em torno do Windows XP e evoluiu desde então. A evolução está no nome e nos recursos fornecidos para o recurso. No Windows XP, o recurso foi chamado de nomes de usuário e senhas armazenados. Você pode acessar esse recurso na guia Avançado na caixa de diálogo Contas de usuário. Na guia Avançado, você clicará no botão Gerenciar senhas para acessar a interface de nomes de usuário e senhas armazenados.
O Windows 7 muda um pouco, pois agora há uma interface diferente, um nome diferente para o recurso, etc. Além disso, as senhas são armazenadas de maneira diferente no Windows 7, que está em um cofre. Para acessar essas credenciais armazenadas ou para armazenar uma credencial, você pode acessar o snap-in contas de usuário no painel de controle e selecionar a opção gerenciar suas credenciais no painel esquerdo, conforme mostrado na Figura 1.
Figura 1: Gerenciar minhas credenciais em contas de usuário snap-in
em essência, isso abre o Gerenciador de credenciais, que também pode ser executado na caixa de texto Iniciar pesquisa ao clicar no botão Iniciar. Quando você armazena credenciais em um computador com Windows 7, elas são armazenadas em C:\Users\UserName\AppData\Roaming\Microsoft\Credentials. Os arquivos que armazenam as credenciais são criptografados, de modo que é pelo menos um benefício!
observe aqui que todas as credenciais criadas no Gerenciador de credenciais criam um arquivo na pasta credenciais no perfil de usuário listado acima. No entanto, quando as credenciais são inseridas para credenciais do Windows, elas também são armazenadas em C:\Users\UserName\AppData\Local\Microsoft\Vault.
comando do Windows Vault
para acessar o Cofre de senhas em um computador Windows 7 (e Windows Server 2008 R2), você pode usar o vaultcmd.comando exe de um prompt de comando. Esta ferramenta permite gerenciar as credenciais que estão no cofre e até mesmo criar novas. Você pode ver a lista de switches que estão disponíveis para vaultcmd na Figura 2.
Figura 2: comando Vaultcmd e interruptores.
se colocarmos esses comandos para usar, você poderá ver como as credenciais são armazenadas e acessadas. Em nosso exemplo, vamos armazenar credenciais logadas como um usuário chamado xpuser. Xpuser é um usuário de domínio no beyondtrust.domínio de demonstração. Este usuário já armazenou credenciais para um controlador de domínio chamado server1. As credenciais que este usuário armazenou são para um usuário de domínio (que passa a ser um administrador de domínio) chamado Derek.
para ver as credenciais do usuário conectado no momento, você pode executar o comando set com o interruptor de nome de usuário, que pode ser visto na Figura 3.
Figura 3: usuário conectado atualmente usando o comando set.
usando o comando vaultcmd, podemos ver as credenciais que esse usuário já salvou. Isso é feito usando o interruptor de lista, que pode ser visto na Figura 4.
Figura 4: comando Vaultcmd usando o interruptor de lista.
você pode então visualizar o conteúdo de cada cofre usando o listproperties switch, seguido pelo listcreds switch para ver as credenciais dentro de cada cofre. Ambos podem ser vistos na Figura 5.
Figura 5: Comando Vaultcmd usando os switches listproperties e listcreds.
como você pode ver em todos esses comandos usando vaultcmd, o conteúdo dos cofres pode ser de fácil acesso. Novamente, observe que as senhas não são exibidas, mas essas “credenciais alternativas” podem ser aproveitadas por qualquer pessoa que possa obter acesso a este computador com o usuário xpuser conectado.
motivos para não usar esse recurso
vimos como o vault armazena as credenciais e como o comando vaultcmd pode acessar essas credenciais e informações sobre elas. No entanto, esse recurso é seguro de usar? Considere o seguinte cenário.
Xpuser armazenou credenciais em seu computador Windows 7 para quando ele precisa acessar Server1, que é um controlador de domínio. As credenciais salvas usando o Gerenciador de credenciais são para Derek, que Derek é um administrador de domínio. Se xpuser nunca deixa o computador, neste caso chamado xpclient, desbloqueado, qualquer pessoa que caminha até xpclient pode acessar Server1 como um administrador de domínio também.
em nosso cenário, que é o que expusemos usando vaultcmd acima, você pode ver claramente que isso pode ser um problema. Para provar isso, vamos olhar mais de perto o nosso cenário. Nosso usuário, xpuser, fez login e se afastou do computador. Outro usuário, Betty, caminha até xpclient, com xpuser conectado e tenta fazer uma conexão com server1. Você pode ver na Figura 6 que essa conexão é facilmente feita.
Figura 6: conexão ao server1 com xpuser conectado, mas credenciais salvas no server1.
como você pode ver, com apenas o usuário conectado e as credenciais salvas, o invasor would be pode reunir todas as informações de que precisam com o vaultcmd e explorar o computador que possui as credenciais salvas.
resumo
Credential Manager e a capacidade de salvar credenciais em um computador com Windows 7 é poderosa, mas possivelmente uma grande exploração. Muitas vezes, os usuários que usarão esse recurso não estão dentro do grupo de TI, mas certamente podem estar causando uma falha de segurança significativa em sua organização. Mesmo que o Usuário não esteja no grupo de TI, mas possa estar em finanças, RH ou executivo, o fato de as credenciais serem salvas no computador se torna um problema conforme descrito neste artigo. Durante anos, os usuários quiseram maneiras de ter seu nome de usuário e senha salvos no computador ou de alguma forma que eles não são responsáveis por digitar suas credenciais a cada vez. No entanto, existem riscos óbvios para esse recurso, que precisam ser pesados no ambiente em que estão sendo salvos. Para as corporações, salvar credenciais não é uma boa ideia devido à exposição dos desktops e ao fato de que os usuários não podem ser confiáveis para não bloquear seu computador quando se afastam dele.