مایکروسافت هنوز وصلهای منتشر نکرده؛ اما یک محقق امنیتی دو آسیبپذیری جدید را در ویندوز ۱۱ افشا کرده است.
طبق گزارشها، یکی از این نقصها به مهاجم اجازه میدهد با داشتن دسترسی فیزیکی به دستگاه و استفاده از یک حافظهی فلش USB، از محافظتهای بیتلاکر (BitLocker) عبور کند و به فایلهای رمزنگاریشده دسترسی پیدا کند.
در حال حاضر، مایکروسافت اعلام کرده که این ادعاها را بررسی میکند و در صورت تأیید، برای محافظت از کاربران، محصولات آسیبپذیر را بهروزرسانی خواهد کرد.
با این حال، در این مطلب روی آسیبپذیری مهمتر یعنی YellowKey تمرکز میکنیم.
آنچه در این مطلب برنا مشاهده خواهید کرد:
YellowKey چیست؟ کلید طلایی هکرها برای بیتلاکر
آسیبپذیری YellowKey مستقیماً محیط بازیابی ویندوز (Windows Recovery Environment – WinRE) را هدف قرار میدهد.
در حالت عادی، BitLocker دیسک شما را رمزنگاری میکند تا بدون رمز عبور یا کلید بازیابی، دادهها قابل خواندن نباشند.
با این وجود، طبق گزارشها، YellowKey به مهاجمی که به لپتاپ یا سیستم شما دسترسی فیزیکی دارد، اجازه میدهد از بخشی از WinRE سوءاستفاده کند و به دادههای روی درایوی که با بیتلاکر محافظت شده، دسترسی پیدا کند؛ آن هم بدون اینکه حتماً رمز عبور کاربر یا کلید بازیابی را در اختیار داشته باشد.
سوءاستفاده از دسترسی موقت WinRE
در واقع، بخشهایی از WinRE در زمان بوت، بهصورت موقت به درایوهای رمزگشاییشده دسترسی دارند.
مهاجمان از همین نقطهی کور استفاده میکنند. آنها با بوت کردن سیستم از روی یک فلش USB و دستکاری محیط بازیابی، میتوانند به محتوای دیسک رمزنگاریشده دسترسی پیدا کنند؛ بدون اینکه نیاز به وارد کردن پسورد اصلی کاربر داشته باشند.
به این ترتیب، YellowKey عملاً لایهی محافظتی بیتلاکر را دور میزند و رمزنگاری دیسک را در سطح بوت هدف قرار میدهد.
مایکروسافت چه واکنشی نشان داده است؟
تا زمان نگارش این مطلب، مایکروسافت فقط اعلام کرده است که:
- این گزارشها و PoCهای منتشرشده را بررسی میکند
- در صورت تأیید آسیبپذیری، محصولات آسیبدیده را بهروزرسانی خواهد کرد
- هدف، محافظت از کاربران و سازمانها در کوتاهترین زمان ممکن است
بنابراین هنوز وصلهی رسمی یا Patch مشخص برای YellowKey منتشر نشده است.
به همین دلیل، سازمانها و کاربران حساس باید تا زمان انتشار جزئیات دقیق، بهصورت پیشدستانه سطح امنیت خود را بالا ببرند.
چگونه از دادههای خود در برابر YellowKey محافظت کنیم؟
چند پژوهشگر امنیتی مستقل، عملکرد YellowKey را آزمایش و تأیید کردهاند.
از آنجا که هنوز وضعیت رسمی و وصلهی نهایی مشخص نشده، بهتر است کاربران و مدیران شبکه، چند اقدام ساده اما مهم را در اولویت قرار دهند.
در ادامه، مهمترین راهکارها را مرور میکنیم.
۱. تعریف پینکد برای بیتلاکر
در قدم اول، فقط به رمزنگاری پیشفرض بیتلاکر اکتفا نکنید.
تعریف یک PIN سفارشی قبل از بالا آمدن سیستم عامل، میتواند کار مهاجم را بسیار سختتر کند.
- با فعال کردن PIN، حتی اگر مهاجم محیط بوت را دستکاری کند، بدون وارد کردن PIN نمیتواند به مرحلهی بعدی دسترسی پیدا کند.
- این کار، سناریوهای حمله مبتنی بر WinRE و رسانههای بوت (مثل فلش USB) را محدود میکند.
بهطور کلی، اضافه کردن یک لایهی تأیید هویت در سطح بوت، ریسک سوءاستفاده از YellowKey را کاهش میدهد.
۲. فعالسازی رمز عبور BIOS / UEFI
گام بعدی، قفل کردن محیط BIOS یا UEFI است.
وقتی برای BIOS یا UEFI رمز عبور تعریف میکنید:
- مهاجم نمیتواند ترتیب بوت (Boot Order) را تغییر دهد
- امکان بوت کردن لپتاپ از روی فلش USB مخرب یا دیسک خارجی محدود میشود
- ابزارهای دور زدن قفل یا محیطهای بوت دستکاریشده، بهسادگی قابل استفاده نیستند
در نتیجه، حتی اگر دستگاه در اختیار مهاجم قرار بگیرد، بدون گذر از رمز BIOS نمیتواند سیستم را از روی رسانهی دلخواه خود بوت کند.
۳. تقویت حفاظت فیزیکی از دستگاه
قدرت اصلی این نوع اکسپلویتها در دسترسی فیزیکی است.
اگر مهاجم نتواند به سیستم شما دسترسی فیزیکی داشته باشد، اجرای YellowKey عملاً غیرممکن میشود.
از این رو، توصیه میشود:
- لپتاپها و سیستمهای حساس در سازمان، در محیطهای کنترلشده نگهداری شوند
- در محلهای عمومی یا سفرهای کاری، دستگاهها بدون نظارت رها نشوند
- برای کاربران کلیدی (مدیران، ادمینهای شبکه، واحد مالی و …) سیاستهای امنیت فیزیکی سختگیرانهتری اعمال شود
در نهایت، نباید فراموش کنیم که بسیاری از حملات سطح پایین (Low-level) مثل همین مورد، به دسترسی فیزیکی وابسته هستند.
۴. سختگیرانهتر کردن تنظیمات بوت و Secure Boot
علاوه بر اقدامات قبلی، توصیه میشود تنظیمات زیر نیز بازبینی و تقویت شوند:
- فعال بودن Secure Boot در UEFI
- جلوگیری از بوت سیستم از روی رسانههای ناشناس
- محدود کردن دسترسی کاربران عادی به تغییرات Boot Configuration
- بررسی دورهای تنظیمات مربوط به WinRE و Partitionهای بازیابی
با این کار، سطح حمله (Attack Surface) در مراحل اولیه بوت کاهش پیدا میکند و امکان سوءاستفاده از محیط بازیابی کمتر میشود.
چرا این آسیبپذیری برای سازمانها مهم است؟
این آسیبپذیری یادآوری میکند که رمزنگاری دیسک هرچند ضروری است، اما تمام سناریوهای حمله را پوشش نمیدهد.
وقتی مهاجم به خود دستگاه دسترسی فیزیکی پیدا میکند:
- امنیت فقط به بیتلاکر وابسته نیست
- تنظیمات بوت، WinRE، UEFI/BIOS و Secure Boot نیز نقش حیاتی پیدا میکنند
- سیاستهای سازمانی در حوزهی امنیت فیزیکی و مدیریت دستگاهها اهمیت دوچندان پیدا میکنند
بهطور کلی، اگر یک سازمان تنها به فعال بودن BitLocker اکتفا کند، ممکن است در برابر حملات سطح پایین، همچنان آسیبپذیر بماند.
جمعبندی: تا زمان وصله مایکروسافت چه کنیم؟
تا زمانی که نتیجه بررسی مایکروسافت و انتشار راهنمایی یا وصله رسمی مشخص شود، کاربران حساس و مدیران شبکه بهتر است:
- تنظیمات BitLocker را بازبینی کنند
- از PIN در سطح بوت استفاده کنند
- برای BIOS / UEFI رمز عبور تعریف کنند
- تنظیمات Secure Boot و ترتیب بوت را سختگیرانهتر کنند
- روی حفاظت فیزیکی از دستگاهها حساستر باشند
در نهایت، YellowKey نشان میدهد که رویکرد امنیتی مدرن باید چندلایه باشد.
ترکیب رمزنگاری، کنترل بوت، سیاستهای فیزیکی و پایش مداوم، میتواند ریسک چنین آسیبپذیریهایی را بهطور قابل توجهی کاهش دهد.
