Buongiorno, Daniela Tafani <daniela.tafani@unipi.it> writes:
Stealing everything you’ve ever typed or viewed on your own Windows PC is now possible with two lines of code — inside the Copilot+ Recall disaster
Kevin Beaumont show us the two lines of code, please. [...]
Q. The data is processed entirely locally on your laptop, right?
A. Yes! They made some smart decisions here, there’s a whole subsystem of Azure AI etc code that process on the edge.
Q. Cool, so hackers and malware can’t access it, right?
A. No, they can.
Come? [...]
For example, InfoStealer trojans, which automatically steal usernames and passwords, are a major problem for well over a decade — now these can just be easily modified to support Recall.
Ah ecco: i trojans o altri "infostealers". ...e io che sono malizioso e già immaginavo funzioni di "send database home" attivabili da remoto nascoste in qualche backdoor opportunamente impiantata. B-) [...]
Q. So how does it work?
A. Every few seconds, screenshots are taken. These are automatically OCR’d by Azure AI, running on your device, and written into an SQLite database in the user’s folder.
This database file has a record of everything you’ve ever viewed on your PC in plain text. OCR is a process of looking an image, and extracting the letters.
Un "user auditing" system on steroids: indicizzatore di screenshots presi automaticamnete (con che frequenza?) e OCRizzati, col risutato testuale (e lo screenshot?) salvato in un database SQLite assieme ad altri metadati utili per la ricerca (data, geolocalizzazione ove disponibile, SSID wifi, IP, applicazioni in esecuzione) ... oh mamma cosa mi tocca sentire! Non ci credo. Così anche quel poco (pochissimo, infinitesimale) di sicurezza che si può sperare di ottenere aggirandosi "coi piedi di piombo" in Windows e installando un password manager (crittografato) [1] potrebbe venire completamente sterilizzata se malauguratamente l'utente decidesse per un attimo di vedere "in chiaro" la sua password, anche solo una volta. A chi servirebbe una "funzione" del genere?!? Agli utenti? Non ci credo. Ah: e l'AI sarebbe l'OCR? (lo so che tecnicamente un OCR è "AI") [...]
Q. …But, normal users don’t run as admins!
A. According to Microsoft’s own website, in their Recall rollout page, they do:
Eggià: sarà mica un problema solo per questo software, vero?!?!? Dal punto di vista della (in)sicurezza, cosa cambia se l'utente "run as admin" Recall oppure Chrome (magari con le password del conto bancario memorizzate) e poi va a visitare siti con Javascripts proprietari che pesano quintalate? In effetti cambia, Recall peggiora di molto il volume della possibile esfilrazione. Ma anche senza Recall bisogna avere un bel coraggio a fidarsi della sicurezza della propria macchina.
In fact, you don’t even need to be an admin to read the database — more on that in a later blog.
Oh mamma, rischia di diventare una telenovela... :-( [...]
I am deliberately holding back technical details until Microsoft ship the feature as I want to give them time to do something.
Così nel frattempo la falla la possono usare tranquillamente tutti i criminali e le spie dell'universo. Verrà annunciato un CVE prima o poi?!? [...]
Q. But if a hacker gains access to run code on your PC, it’s already game over!
Eh, domanda interessante finalmente.
A. If you run something like an info stealer, at present they will automatically scrape things like credential stores. At scale, hackers scrape rather than touch every victim (because there are so many) and resell them in online marketplaces.
Recall enables threat actors to automate scraping everything you’ve ever looked at within seconds.
Sì ma a parte la /distopia/ della funzionalità stile auto"Black Mirror", perché un utente Windows dovrebbe sentirsi meno tranquillo attivando Recall? [...]
Q. Have Microsoft mislead customers about the security of Copilot?
A. Yes. For example, they describe it as an optional experience — but it is enabled by default and people can optionally disable it. That’s wordsmithing.
A parte che sono dei pazzi scriteriati a usare un opt-out invece di opt-in per Recall, faccio sommessamente notare che il sistema operativo in oggetto è /infarcito/ di funzioni "call home" opt-out.
Microsoft’s CEO referred to “screenshots” in an interview about the product, but the product itself only refers to “snapshots” — a snapshot is actually a screenshot. It’s again wordsmithing for whatever reason.
Già, un vero e proprio inganno. Snapshot quando si parla di filesystem (dove i file sono memorizzati) vuol dire tutta un'altra cosa, altro che "screenshot". [...]
Q. Recall only applies to 1 hardware device!
A. That isn’t true. There are currently 10 Copilot+ devices available to order right now from every major manufacturer:
https://www.microsoft.com/en-gb/windows/copilot-plus-pcs#shop
Ci vuole pure un hardware "certificato"... impatto globale rasente allo zero, allora. Non ho capito di che allarme stiamo parlando, esattamente :-O [...]
Q. What should Microsoft do?
A. In my opinion — they should recall Recall
è ricorsivo: (recall (Recall)) :-) [...]
https://doublepulsar.com/recall-stealing-everything-youve-ever-typed-or-view...
Non riesco davvero a capire perché gli utenti Windows dovrebbero essere più allarmati della propria sicurezza con Recoll che senza, considerato che è proprio _malware_ l'intero sistema operativo (anzi già UEFI è malware): https://www.gnu.org/proprietary/malware-microsoft.html.en Stando così le cose, è "solo" Recall che rende Windows così dannatamente insicuro?!? ...sempre che di sicurezza si abbia intenzione di parlare _seriamente_. Saluti, 380° [1] comunque la pratica di molti utenti (che "run as administrator") per salvare le password è quella di scriverle in un documento Word chiamato "Passwords", salvato sul proprio desktop. -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.