Windows Recall robi zrzuty ekranu nawet podczas wprowadzania wrażliwych danych

niedziela, 15 grudnia 2024

Jak podaje portal Tom's Hardware, Windows Recall, który jest funkcją mającą służyć za powrót w czasie do poszczególnego momentu w trakcie korzystania z systemu Windows, robi zrzuty ekranu również w przypadkach, gdy osoba wpisuje dane takie jak numer karty czy Social Security Number (amerykański odpowiednik PESELu).

Od momentu pierwszych zapowiedzi Windows Recall budził spore kontrowersje ze względu na obawy związane z bezpieczeństwem i prywatnością. Mimo nacisków społeczności oraz ekspertów, którzy wskazywali, że zrzuty ekranu nie są w ogóle zabezpieczane, Microsoft zdecydował się tylko opóźnić wprowadzenie tej funkcji do Windowsa do czasu "wprowadzenia stosownych poprawek".

Windows Recall zawiera filtr danych wrażliwych, który jest włączany domyślnie, jednak działał on tylko w niektórych momentach, co zweryfikował to dziennikarz Tom's Hardware. Zrzuty ekranu były robione nawet w przypadku, gdy redaktor wpisywał dane takie jak numer karty kredytowej czy Social Security Number. Choć na opublikowanym przykładzie są one zmyślone, zostało to również sprawdzone na autentycznych danych, a także na stworzonej do tego celu specjalnej stronie z wyraźnie widocznym napisem "wprowadź dane swojej karty kredytowej". W każdym przypadku zrzut ekranu został zrobiony przez Recalla. Wyjątek stanowią jednak strony sklepów internetowych takich jak Pimoroni czy Adafruit, gdzie Windows Recall powstrzymał się od tworzenia zrzutów ekranu.

Ten eksperyment miał na celu pokazanie, że choć algorytm Recalla nie będzie w stanie wyłapać każdej sytuacji, gdy wpisywane będą dane osobowe, jednak jak zauważył dziennikarz Tom's Hardware, "niektórzy wypełniają formularze w formacie PDF, które w żaden sposób nie przypominają sklepów internetowych".

Microsoft skomentował doniesienie następująco:

Zaktualizowaliśmy Recalla, żeby wykrywać kolejne przypadki wpisywania danych wrażliwych takich jak dane kart kredytowych, hasła, czy personalne numery identyfikacyjne. Gdy takie wystąpią, Recall odmówi zapisu czy przechowania takiego zrzutu ekranu.

Źródła

Avram Piltch – Microsoft Recall screenshots credit cards and Social Security numbers, even with the "sensitive information" filter enabled – Tom's Hardware, 13 grudnia 2024