獨立安全研究員 Daniel Wade 向 Microsoft 安全響應(yīng)中心報告稱，在某些情況下，Windows 遠程桌面協(xié)議（RDP）仍然接受舊密碼進行遠程訪問，即使用戶因密碼泄露或常規(guī)安全維護而更改了密碼。Wade 的調(diào)查結(jié)果被 Ars Technica 詳細報道，警告這種行為破壞了用戶對密碼更改的信任，削弱了通過更改密碼阻止未經(jīng)授權(quán)訪問的安全防線。微軟已確認，RDP 允許用戶使用已更改或撤銷的密碼登錄 Windows 計算機。微軟方面表示，這并非安全漏洞，而是“有意的設(shè)計決策”，且沒有計劃改變這一行為。只要密碼與任何先前有效的緩存憑證匹配，即使該憑證已被更改或撤銷，系統(tǒng)仍會授予訪問權(quán)限。微軟發(fā)言人證實，公司至少從2023年8月起就已意識到該問題，但堅持認為立即更改此行為可能會破壞與現(xiàn)有應(yīng)用程序的兼容性
查閱相關(guān)資料發(fā)現(xiàn)，類似問題早在2020年就有用戶在技術(shù)論壇反饋。該問題主要涉及登錄微軟賬戶的設(shè)備。用戶“dyasta”表示，使用微軟賬戶登錄 Windows 系統(tǒng)時，更改密碼后舊密碼仍能在先前已認證的設(shè)備上無限期使用。他舉例稱，自己一年前更改的密碼至今仍可用舊密碼登錄系統(tǒng)。有用戶推測，這與系統(tǒng)的憑證緩存機制有關(guān)。Windows 為了支持無網(wǎng)絡(luò)訪問時的登錄，會緩存用戶憑證，但無限期保留舊憑證在安全層面難以解釋，因為用戶通常期望密碼更改后舊憑證立即失效。實測顯示，在 Windows 11 登錄微軟賬號時，修改密碼后舊密碼仍可登錄。論壇上猜測微軟賬戶的運作機制與活動目錄域類似。為確保計算機在無網(wǎng)絡(luò)連接時用戶仍能登錄，系統(tǒng)會緩存微軟賬戶憑證。例如，在 Windows 8 系統(tǒng)中，若通過網(wǎng)頁更改微軟賬戶密碼，緩存的登錄憑證不會自動更新，必須使用新密碼成功登錄 Windows 系統(tǒng)后才會刷新緩存。此設(shè)計旨在防止計算機完全失去網(wǎng)絡(luò)連接且無本地管理員賬戶時，用戶因密碼過期而無法訪問系統(tǒng)，也無法修復網(wǎng)絡(luò)連接進行新憑證驗證。因此，新密碼將在首次登錄時替換舊密碼，密碼更改最終會使舊憑證失效，只是失效時機并非用戶預期的密碼更改瞬間。
在 Microsoft 賬戶網(wǎng)站更改密碼后，必須通過注銷或鎖定系統(tǒng)，并使用新密碼重新登錄，才能更新本地計算機上的密碼緩存。不建議使用 PIN 碼或圖片密碼登錄，因為這些方式不會觸發(fā)對微軟身份驗證服務(wù)器的實際密碼驗證，系統(tǒng)仍會接受緩存的舊密碼。因此，當您在線更改密碼時，建議始終注銷或鎖定系統(tǒng)，并至少使用 Microsoft 賬戶密碼在本地登錄一次，以確保憑證及時更新，防止舊密碼繼續(xù)被接受。
參考鏈接：
https://cybersecurityboard.com/windows-rdp-bug-allows-login-with-expired-passwords
https://www.dell.com/support/kbdoc/zh-cn/000134994
https://security.stackexchange.com/questions/230860/after-changing-microsoft-password-one-can-still-login-to-previously-authenticat/230891#230891
?
閱讀原文：原文鏈接
該文章在 2025/5/6 12:14:50 編輯過
400 186 1886
