Microsoft faces fresh Windows Recall security concerns

개요

Microsoft의 Windows Recall 기능에 대해 보안 전문가 Alexander Hagenah가 새로운 우회 도구 'TotalRecall Reloaded'를 공개하며 보안 및 개인 정보 보호에 대한 우려가 재점화되었습니다.

주요 내용

* Recall 기능의 재점화된 보안 우려: Microsoft가 보안 강화를 위해 재설계한 Windows Recall 기능이 새로운 보안 취약점에 직면했습니다. Recall은 사용자의 PC 활동 대부분을 스크린샷으로 기록하는 AI 기반 기능입니다.
* 'TotalRecall Reloaded' 도구 등장: 보안 전문가 Alexander Hagenah는 기존 Recall 기능의 취약점을 시연했던 'TotalRecall' 도구를 업데이트한 'TotalRecall Reloaded'를 개발했습니다. 이 도구는 Recall 데이터에서 정보를 추출하고 표시할 수 있습니다.
* Microsoft의 보안 설계 및 전문가의 반박: Microsoft는 Recall 데이터를 위한 보안 저장소, Windows Hello 인증, Virtualization-based Security Enclave를 통해 보안을 강화했다고 주장합니다. 그러나 Hagenah는 "신뢰 경계가 너무 일찍 끝난다"며 'TotalRecall Reloaded'가 사용자의 Windows Hello 인증을 이용하여 데이터를 추출할 수 있다고 지적합니다. 이는 Microsoft가 방지하려던 시나리오입니다.
* Recall의 저장 데이터 범위: Recall은 스크린샷뿐만 아니라 화면에 표시된 텍스트 기록, 메시지, 이메일, 문서, 브라우징 기록 등 민감한 정보를 포함합니다.
* Microsoft의 입장과 Hagenah의 이견: Microsoft는 Hagenah의 발견이 보안 취약점이 아니며 기존 통제와 일치한다고 밝혔습니다. 하지만 Hagenah는 Microsoft의 타임아웃 보호가 우회 가능하며, '잠복 악성코드'가 데이터를 훔칠 수 없다는 Microsoft의 주장이 사실과 다르다고 반박합니다.
* 추가 기능 및 Microsoft의 일반적 작동 방식: 'TotalRecall Reloaded'는 Windows Hello 인증 없이 최신 캐시된 Recall 스크린샷을 추출하거나 전체 기록을 삭제할 수 있습니다. Microsoft는 이러한 행위가 Windows의 일반적인 사용자 모드 프로세스의 코드 주입 메커니즘과 유사하다고 설명하며, 보안 취약점으로 간주하지 않습니다.
* 더 넓은 보안 생태계의 맥락: 유사한 인포스테일러 악성코드도 탐지되지 않으면 1Password 데이터나 브라우징 기록을 추출할 수 있습니다. Recall은 이보다 훨씬 더 민감한 데이터를 저장하며, Microsoft의 원래 약속(악성코드 방지)과의 간극이 존재합니다.
* Microsoft 재설계의 긍정적 측면: Hagenah는 VBS enclave, 인증 모델 등 Microsoft의 Recall 재설계가 견고하다고 평가하면서도, 암호화, enclave, 인증, PPL 자체의 문제는 아니며, "해독된 콘텐츠를 보호되지 않은 프로세스로 렌더링하기 위해 보내는 것"이 근본적인 문제라고 지적합니다.

시사점

Windows Recall 기능은 설계상의 보안 강화에도 불구하고, 정보 추출 방식에 대한 근본적인 우려를 남기며 사용자 데이터의 민감성과 보호 수준에 대한 지속적인 검토가 필요함을 시사합니다.