Compartilhar via

Visão geral da segurança do Surface Hub

  • Artigo
  • Aplica-se a:
    Surface Hub, Surface Hub 2S

O Surface Hub e o Surface Hub 2S fornecem uma experiência dispositivo bloqueada com firmware de plataforma personalizado executando o sistema operacional Windows 10 Team. O dispositivo resultante usa a filosofia tradicional de quiosque seguro de "uso único", "execute apenas o que você precisa" e fornece uma visão moderna sobre ele. Desenvolvido para dar suporte a uma experiência de usuário colaborativo avançada, o Surface Hub está protegido contra ameaças à segurança em constante evolução.

Desenvolvido no Windows 10, o Surface Hub oferece segurança moderna de nível empresarial, permitindo que os administradores de TI imponham a proteção de dados com BitLocker, módulo de plataforma confiável 2,0 (TPM), além da segurança de nuvem com o Windows Defender (também conhecido como Microsoft Defender).

Dica

Para o Surface Hub 3, confira Práticas recomendadas de segurança para Hubs surface em execução Salas do Microsoft Teams no Windows

Segurança detalhada da defesa

Os protocolos de segurança serão iniciados assim que o Surface Hub estiver ativado. A partir do nível do firmware, o Surface Hub carregará apenas o sistema operacional e seus componentes em resposta a várias verificações de segurança. O Surface Hub emprega uma estratégia de Defesa em Profundidade que envolve camadas de subcomponentes defensivos independentes para proteger todo o sistema em caso de falha parcial. Essa prática do setor tem se mostrado altamente eficaz na mitigação de potenciais explorações unilaterais e fraquezas em subcomponentes.

A interface de firmware extensível (UEFI) moderna é estaticamente e configurada de forma segura pela Microsoft para inicializar apenas um sistema operacional autenticado do Windows 10 Team a partir do armazenamento interno. Cada linha de código que é executada no Surface Hub tem sua assinatura verificada antes da execução. Somente os aplicativos assinados pela Microsoft, como parte do sistema operacional ou instalado pela Microsoft Store, podem ser executados no Surface Hub. Os aplicativos que não atenderem a esses requisitos serão bloqueados.

Os sistemas de segurança do Surface Hub incluem a seguinte funcionalidade:

  • Defesas em tempo de inicialização. Carrega apenas componentes do sistema operacional confiável do Surface Hub.
  • Defesas do sistema operacional. Protege contra a execução de software ou código não intencional ou mal-intencionado.
  • Defesas de Interface do usuário. Fornece uma interface do usuário que é segura para os usuários finais, evitando o acesso a atividades potencialmente arriscadas, como executar executáveis a partir da linha de comando.

Defesas em tempo de inicialização.

O SoC tem um processador de segurança separado de cada outro núcleo. Quando você inicia o Surface Hub pela primeira vez, o processador de segurança começa antes que qualquer outra coisa possa ser carregada.

Fases de inicialização do Hub mostrando proteções do processador de segurança.

Inicialização segura

A inicialização segura é usada para verificar se os componentes do processo de inicialização, incluindo drivers e o sistema operacional, são validados em relação a um banco de dados de assinaturas válidas e conhecidas. No Surface Hub, uma assinatura específica da plataforma deve ser validada antes do sistema operacional autorizado do Windows Team seja carregado. Isso ajuda a evitar ataques de um sistema clonado ou modificado que executa código mal-intencionado oculto no que parece ser uma experiência de usuário padrão. Para saber mais, confira visão geral da inicialização segura.

Defesas do sistema operacional

Uma vez que o sistema operacional seja verificado à medida que a Microsoft e o Surface Hub concluírem com êxito o processo de inicialização, o dispositivo investigará o código executável. Nossa abordagem para a proteção do sistema operacional envolve identificar a assinatura do código de todos os executáveis, permitindo que somente os que passarem nossas restrições sejam carregados no tempo de execução. Esse método de assinatura de código permite que o sistema operacional verifique o autor e confirme se o código não foi alterado antes de ser executado no dispositivo.

O Surface Hub usa um recurso de assinatura de código conhecido como UMCI (integridade de código do modo de usuário) no Windows Application Control (antes conhecido como o Device Guard). As configurações de política estão definidas para permitir apenas aplicativos que atendem a um dos seguintes requisitos:

  • Aplicativos da plataforma universal do Windows (Microsoft Store) oficialmente certificados.
  • Aplicativos assinados com a CA (autoridade de certificação) da Microsoft Production Root exclusiva, que só pode ser assinada por funcionários da Microsoft com acesso autorizado a esses certificados.
  • Aplicativos assinados com o Surface Hub Production Root C.

O arquivo de configuração é assinado usando a AC da Microsoft Production Root, projetada para impedir que restrições sejam removidas ou modificadas por terceiros. Todos os outros executáveis neste ponto são bloqueados no nível de runtime do sistema operacional e impedidos de acessar o poder de processamento. Essa redução da superfície de ataque fornece as seguintes proteções:

  • Nenhum modo de documento herdados
  • Nenhum mecanismo de script herdado
  • Nenhuma linguagem de marcação vetorial
  • Nenhum objeto auxiliar do navegador
  • Nenhum controle ActiveX

Além de bloquear códigos não assinados ou assinados incorretamente por meio do UMCI, o Surface Hub usa o controle do aplicativo Windows para bloquear componentes do Windows, como o prompt de comando, PowerShell e gerenciador de tarefas. Essas proteções refletem um recurso fundamental de design do Surface Hub como um dispositivo de computação seguro. Para obter mais informações, veja os seguintes recursos:

Defesas de Interface do usuário.

Embora as defesas de tempo de inicialização e as proteções de bloqueio do sistema operacional forneçam segurança fundamental, a interface do usuário fornece uma camada extra projetada para reduzir ainda mais o risco. Para impedir que o código mal-intencionado chegue ao dispositivo por meio de drivers, o Surface Hub não baixa drivers avançados para dispositivos PnP (plug and play). Dispositivos que usam drivers básicos, como unidades flash USB ou periféricos certificados do Surface Hub (alto-falantes, microfones, câmeras), funcionam conforme o esperado, mas sistemas avançados, como impressoras, não funcionarão.

As proteções da interface do usuário também simplificam a interface do usuário, evitando ainda mais a execução de software ou código mal-intencionado. Os seguintes elementos da interface de usuário do Surface Hub a segurança principal fornecida pela assinatura de código:

  • Explorador de arquivos. O Surface Hub tem uma Explorador de Arquivos personalizada que permite acesso rápido a pastas Música, Vídeos, Documentos, Imagens e Downloads sem expor os usuários a arquivos do sistema ou do programa. Outros locais no disco rígido local não estão disponíveis por meio de Explorador de Arquivos. Além disso, muitos tipos de arquivo em execução, como .exe e .msi arquivos de instalação, não podem ser executados, fornecendo outra camada de segurança contra executáveis potencialmente mal-intencionados.

  • Iniciar e todos os aplicativos. Os componentes Iniciar e Todos os Aplicativos do Surface Hub não expõem o acesso ao Prompt de Comando, ao PowerShell ou a outros componentes do Windows bloqueados por meio do Controle de Aplicativo. Além disso, a funcionalidade de executar do Windows geralmente acessada em computadores na caixa de pesquisa é desativada para o Surface Hub.

Aperfeiçoamentos de segurança no Surface Hub 2S

Embora o Surface Hub e o Surface Hub 2S executem o mesmo software do sistema operacional, alguns recursos exclusivos do Surface Hub 2S fornecem mais recursos de gerenciamento e segurança, permitindo que os administradores de TI executem as seguintes tarefas:

  • Gerenciar as configurações de UEFI com o SEMM
  • Recuperar o Hub com o USB inicializável
  • Proteger a conta do dispositivo com rotação de senha

Gerenciar as configurações de UEFI com o SEMM

A UEFI é uma interface entre as partes da plataforma de hardware subjacente e o sistema operacional. No Surface Hub, uma implementação personalizada da UEFI permite o controle granular sobre essas configurações e impede que qualquer entidade que não seja da Microsoft altere as configurações UEFI do dispositivo ou inicialize para uma unidade removível para modificar ou alterar o sistema operacional.

Em um nível alto, durante o processo de provisionamento de fábrica, a UEFI do Surface Hub é pré-configurada para habilitar a inicialização segura e está definida para ser inicializada somente a partir da unidade de estado sólido interna (SSD), com acesso aos menus UEFI bloqueados e os atalhos removidos. Isso lacra o acesso à UEFI e assegura que o dispositivo só possa ser inicializado no sistema operacional Windows Team instalado no Surface Hub.

Quando gerenciado por meio do SEMM (modo de gerenciamento do Microsoft Surface Enterprise), os administradores de TI podem implantar configurações UEFI em dispositivos de Hub em uma organização. Isso inclui a capacidade de habilitar ou desabilitar componentes de hardware internos, proteger as configurações de UEFI contra alterações por usuários não autorizados e ajustar as configurações de inicialização.

Configurações de UEFI do Surface Hub.

Os administradores podem implementar dispositivos SEMM e Surface Hub 2S registrados usando o configurador baixável UEFI do Surface. Para obter mais informações, consulte Proteger e gerenciar o Surface Hub com o SEMM.

Recuperar o Hub com o USB inicializável

O Surface Hub 2S permite que os administradores reinstalem o dispositivo para as configurações de fábrica usando uma imagem de recuperação até 20 minutos. Geralmente, você só precisaria fazer isso se o Surface Hub não estiver mais funcionando. A recuperação também será útil se você perdeu a chave BitLocker ou não tiver mais credenciais de administrador para o aplicativo Configurações.

Proteger a conta do dispositivo com rotação de senha

O Surface Hub usa uma conta de dispositivo, também conhecida como "conta de sala", para autenticar com Exchange, Microsoft Teams e outros serviços. Quando você habilita a rotação de senha, o Hub 2S gera automaticamente uma nova senha a cada sete dias, consistindo de 15 a 32 caracteres com uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais. Como ninguém sabe a senha, a rotação de senha da conta de dispositivo reduz efetivamente os riscos associados de erros humanos e potenciais ataques de segurança de engenharia social.

Segurança de nível empresarial

Além das configurações e recursos específicos do Surface Hub abordados neste documento, o Surface Hub também usa recursos de segurança padrão do Windows, incluindo a seguinte funcionalidade:

  • BitLocker. A SSD do Surface Hub é equipada com BitLocker para proteger os dados no dispositivo. A configuração acompanha os padrões do setor. Para obter mais informações, consulte visão geral do BitLocker.
  • Windows Defender. O mecanismo anti-malware do Windows Defender é executado continuamente no Surface Hub e funciona para corrigir automaticamente ameaças encontradas no Surface Hub. O mecanismo do Windows Defender recebe atualizações automaticamente e é gerenciável por meio das ferramentas de gerenciamento remoto para os administradores de TI. O mecanismo Windows Defender é um exemplo perfeito de nossa abordagem Defesa em Profundidade: se o malware puder encontrar uma maneira de contornar nossa solução de segurança baseada em sinalização de código principal, ele será capturado aqui. Para obter mais informações, confira controle de aplicativos do Windows Defender e proteção de integridade de código baseada na virtualização.
  • Drivers plug and play. Para impedir que o código mal-intencionado alcance o dispositivo por meio de drivers, o Surface Hub não baixa drivers avançados para dispositivos PnP. Isso permite que dispositivos que usam drivers básicos, como unidades flash USB, funcionem conforme o esperado, bloqueando sistemas mais avançados, como impressoras.
  • Módulo de plataforma confiável 2.0. O Surface Hub tem um módulo de plataforma confiável (dTPM) padrão do setor para gerar e armazenar hashes e chaves criptográficas. O dTPM protege as teclas usadas para a verificação de fases de inicialização, a chave mestra BitLocker, a tecla de logon sem senha e muito mais. O dTPM atende à certificação de nível 2 FIPS 140-2, o padrão de segurança do governo dos Estados Unidos e é compatível com critérios comuns certificação usada em todo o mundo.

Segurança sem fio para Surface Hub

O Surface Hub usa a tecnologia Wi-Fi Direct/Miracast e os padrões associados 802.11, WPA2 (Wi-Fi Protected Access) e WPS (Wireless Protected Setup). Como o dispositivo dá suporte apenas para WPS (em vem de WPA2 PSK (Pre-Shared Key) ou WPA2 Enterprise), problemas tradicionalmente associados à criptografia 802.11 são simplificados por padrão.

O Surface Hub opera em par com o campo de receptores Do Miracast. Portanto, ele é vulnerável a um conjunto semelhante de explorações como todos os dispositivos de rede sem fio baseados em WPS. Mas a implementação do WPS do Surface Hub tem precauções extras internas. Além disso, sua arquitetura interna ajuda a impedir que um invasor que comprometeu a camada Wi-Fi Direct/Miracast passe pela interface de rede para outras superfícies de ataque e redes corporativas conectadas.

O Miracast faz parte do padrão Vídeo Wi-Fi, que por si só é compatível com o protocolo Wi-Fi Direct. Esses padrões têm suporte em dispositivos móveis modernos para compartilhamento de tela e colaboração. Wi-Fi Direct ou Wi-Fi "peer to peer" (P2P) é um padrão lançado pela Wi-Fi Alliance para redes "Ad Hoc". Isso permite que os dispositivos com suporte se comuniquem diretamente e criem grupos de redes sem a necessidade de um ponto de acesso Wi-Fi tradicional ou uma conexão de Internet.

A segurança do Wi-Fi Direct é fornecida pelo WPA2 usando o padrão WPS. Os dispositivos podem ser autenticados usando o PIN numérico, um botão de envio físico ou virtual, ou uma mensagem fora da faixa, usando a comunicação em breve. O Surface Hub dá suporte a ambos os botões de envio por padrão, assim como métodos PIN.

Como o Surface Hub aborda Wi-Fi vulnerabilidades diretas

Vulnerabilidades e ataques no Wi-Fi processo direto de convite, transmissão e descoberta: Wi-Fi ataques Direct/Miracast podem atingir fraquezas no estabelecimento do grupo, descoberta de pares, transmissão de dispositivo ou processos de convite.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
O processo de descoberta pode permanecer ativo por um longo período de tempo, o que pode permitir que convites e conexões sejam estabelecidos sem a aprovação do proprietário do dispositivo. O Surface Hub funciona apenas como o proprietário do grupo, que não executa os processos de descoberta do cliente ou de negociação go. Você pode desabilitar totalmente a projeção sem fio para desativar a transmissão.
O convite e a descoberta por meio do PBC permitem que um invasor não autenticado execute tentativas de conexão repetidas ou conexões não autenticadas sejam aceitas automaticamente. Ao exigir a segurança do WPS PIN, os administradores podem reduzir o potencial para tais conexões não autorizadas ou "bombas de convite", nas quais os convites são enviados repetidamente até que um usuário aceite erroneamente uma.

Entrada do botão de conexão do botão WPS (Instalação Protegida por Wi-Fi) (PBC) vs PIN: As fraquezas públicas foram demonstradas no design e implementação do método WPS-PIN. O WPS-PBC tem outras vulnerabilidades que podem permitir ataques ativos contra um protocolo projetado para uso único.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
O WPS-PBC é vulnerável a ataques ativos. A especificação WPS afirma: "O método PBC tem zero bits de entropia e protege apenas contra ataques passivos de escuta. O PBC protege contra ataques de escuta e toma medidas para impedir que um dispositivo ingresse em uma rede que não foi selecionada pelo proprietário do dispositivo. A ausência de autenticação, no entanto, significa que o PBC não protege contra ataque ativo.". Os invasores podem usar o bloqueio sem fio seletivo ou outras técnicas de negação de serviço para disparar uma conexão direta ou go não intencional Wi-Fi. Além disso, um invasor ativo que apenas tem proximidade física pode derrubar repetidamente qualquer grupo Wi-Fi Direct e tentar o ataque até que ele tenha êxito. Habilitar a segurança WPS-PIN na configuração do Surface Hub. A especificação Wi-Fi WPS afirma: "O método PBC só deve ser usado se nenhum registrador capaz de PIN estiver disponível e o usuário WLAN estiver disposto a aceitar os riscos associados ao PBC.".
Implementações WPS-PIN podem estar sujeitas a ataques de força bruta que visam uma vulnerabilidade no padrão WPS. O design da verificação de PIN dividida levou a várias vulnerabilidades de implementação nos últimos anos em uma variedade de fabricantes de hardware Wi-Fi. Em 2011, os pesquisadores Stefan Viehböck e Craig Heffner divulgaram informações sobre essa vulnerabilidade e ferramentas como "Reaver" como uma prova de conceito. A implementação da Microsoft do WPS no Surface Hub altera o PIN a cada 30 segundos. Para quebrar o PIN, um invasor deve concluir toda a exploração em menos de 30 segundos. Dado o estado atual das ferramentas e da pesquisa nesta área, é improvável que um ataque de quebra de PIN de força bruta por meio do WPS tenha êxito.
O WPS-PIN pode ser rachado por um ataque offline devido à entropia de chave inicial fraca (E-S1, E-S2). Em 2014, Dominique Bongard descreveu um ataque "Pixie Dust", onde a aleatoriedade inicial ruim para o gerador de números de pseudorandom (PRNG) no dispositivo sem fio permitiu um ataque de força bruta offline. A implementação da Microsoft do WPS no Surface Hub não é suscetível a esse ataque de força bruta pin offline. O WPS-PIN é randomizado para cada conexão.

Exposição não intencional de serviços de rede: Os daemons de rede destinados aos serviços Ethernet ou WLAN podem ser expostos acidentalmente devido à má configuração (como associação a interfaces "all"/0.0.0.0). Outras causas possíveis incluem um firewall de dispositivo mal configurado ou regras de firewall ausentes.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
A configuração incorreta associa um serviço de rede vulnerável ou não autenticado a "todas" as interfaces, que inclui a interface do Wi-Fi Direct. Isso pode expor serviços que não devem ser acessíveis a Wi-Fi clientes Diretos, que podem ser autenticados de forma fraca ou automática. No Surface Hub, as regras de firewall padrão permitem apenas as portas de rede TCP e UDP necessárias e, por padrão, negam todas as conexões de entrada. Configure a autenticação forte habilitando o modo WPS-PIN.

A ponte Wi-Fi Direct e outras redes com fio ou sem fio: A ponte de rede entre redes WLAN ou Ethernet é uma violação da especificação Wi-Fi Direct. Essa ponte ou má configuração pode efetivamente reduzir ou remover controles de acesso sem fio para a rede corporativa interna.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Os dispositivos Wi-Fi Direct podem permitir acesso não autenticado ou autenticado incorretamente a conexões de ponte de rede. Isso pode permitir que Wi-Fi redes diretas roteem o tráfego para LAN Ethernet interna ou outra infraestrutura ou para redes WLAN corporativas em violação dos protocolos de segurança de TI existentes. O Surface Hub não pode ser configurado para fazer pontes de interfaces sem fio ou permitir o roteamento entre redes diferentes. As regras de firewall padrão adicionam segurança abrangente a qualquer uma dessas conexões de roteamento ou ponte.

O uso de Wi-Fi modo "herdado" direto: A exposição a redes ou dispositivos não intencionais pode ocorrer quando você opera no modo "herdado". Conexões de falsificação ou não intencionais de dispositivos podem ocorrer quando o WPS-PIN não está habilitado.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Com o suporte para clientes de infraestrutura Wi-Fi Direct e 802.11, o sistema está operando em um modo de suporte "herdado". Isso pode expor a fase de instalação de conexão indefinidamente, permitindo que grupos sejam ingressados ou dispositivos convidados a se conectarem bem após o término da fase de instalação pretendida. O Surface Hub não dá suporte a Wi-Fi clientes herdados diretos. Somente conexões Wi-Fi Direct podem ser feitas com o Surface Hub mesmo quando o modo WPS-PIN está habilitado.

Wi-Fi Direct negociação go durante a instalação da conexão: o proprietário do grupo no Wi-Fi Direct é análogo ao "ponto de acesso" em uma rede sem fio convencional 802.11. A negociação pode ser manipulada por um dispositivo mal-intencionado.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Se os grupos forem estabelecidos dinamicamente ou o dispositivo Wi-Fi Direct puder ser feito para ingressar em novos grupos, a negociação do proprietário do grupo poderá ser vencida por um dispositivo mal-intencionado que sempre especifica o valor máximo de "intenção" do proprietário do grupo de 15. (Mas a conexão falhará se o dispositivo estiver configurado para sempre ser um proprietário de grupo.) O Surface Hub aproveita Wi-Fi "modo autônomo" direto, que ignora a fase de negociação go da configuração de conexão. E o Surface Hub é sempre o proprietário do grupo.

Desauthentication Wi-Fi não intencional ou mal-intencionada: Wi-Fi deauthentication é um ataque antigo no qual um invasor local pode agilizar vazamentos de informações no processo de instalação de conexão, disparar novos apertos de mão de quatro vias, direcionar Wi-Fi WPS-PBC direto para ataques ativos ou criar ataques de negação de serviço.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Pacotes de desautenticação podem ser enviados por um invasor não autenticado para fazer com que a estação se autentique novamente e, em seguida, fareje o aperto de mão resultante. Pode haver tentativas de ataques de criptografia ou de força bruta no handshake resultante. A mitigação desses ataques inclui impor políticas de comprimento e complexidade para chaves pré-compartilhadas, configurar o ponto de acesso (se aplicável) para detectar níveis mal-intencionados de pacotes de desauthentication e usar o WPS para gerar automaticamente chaves fortes. No modo PBC, o usuário interage com um botão físico ou virtual para permitir a associação arbitrária do dispositivo. Esse processo deve acontecer somente na configuração, em uma janela curta. Depois que o botão for automaticamente "pressionado", o dispositivo aceitará qualquer estação associada por meio de um valor DE PIN canônico (todos os zeros). A desautenticação pode forçar um processo de configuração repetida. O Surface Hub usa WPS no modo PIN ou PBC. Nenhuma configuração de PSK é permitida. Esse método ajuda a impor a geração de chaves fortes. É melhor habilitar a segurança WPS-PIN para o Surface Hub.
Além de ataques de negação de serviço, pacotes de desautenticação podem ser usados para disparar uma reconexão que reabre a janela de oportunidade para ataques ativos contra WPS-PBC. Habilite a segurança WPS-PIN na configuração do Surface Hub.

Divulgação básica de informações sem fio: Redes sem fio, 802.11 ou não, estão inerentemente em risco de divulgação de informações. Embora essas informações sejam principalmente metadados de conexão ou dispositivo, esse problema continua sendo um risco conhecido para qualquer administrador de rede 802.11. O Wi-Fi Direct com autenticação de dispositivo via WPS-PIN revela efetivamente as mesmas informações que uma rede 802.11 PSK ou empresarial.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Durante a transmissão, a instalação de conexão ou até mesmo a operação normal de conexões já criptografadas, as informações básicas sobre dispositivos e tamanhos de pacotes são transmitidas sem fio. Em um nível básico, um invasor local que está dentro do intervalo sem fio pode examinar os elementos de informações relevantes 802.11 para determinar os nomes de dispositivos sem fio, os endereços MAC do equipamento de comunicação e possivelmente outros detalhes, como a versão da pilha sem fio, tamanhos de pacote ou as opções configuradas do ponto de acesso ou proprietário do grupo. A rede Wi-Fi Direct que o Surface Hub usa não pode ser protegida contra vazamentos de metadados, assim como para redes sem fio 802.11 Enterprise ou PSK. A segurança física e a remoção de possíveis ameaças de proximidade sem fio podem ajudar a reduzir possíveis vazamentos de informações.

Ataques de gêmeo do mal sem fio ou falsificação: Falsificar o nome sem fio é uma exploração simples e conhecida que um invasor local pode usar para atrair usuários desavisados ou equivocados para se conectar.

Wi-Fi Vulnerabilidade direta Mitigação do Surface Hub
Ao falsificar ou clonar o nome sem fio ou "SSID" da rede de destino, um invasor pode enganar o usuário para se conectar a uma rede falsa e mal-intencionada. Ao dar suporte ao Miracast não autenticado e de junção automática, um invasor pode capturar os materiais de exibição pretendidos ou iniciar ataques de rede no dispositivo de conexão. Embora não haja proteções específicas contra a junção de um Surface Hub falsificado, essa vulnerabilidade é parcialmente atenuada de duas maneiras. Primeiro, qualquer ataque em potencial deve estar fisicamente dentro do alcance do Wi-Fi. Em segundo lugar, esse ataque só é possível durante a primeira conexão. As conexões subsequentes usam um grupo Wi-Fi Direct persistente e o Windows lembrará e priorizará essa conexão anterior durante o uso futuro do Hub. (Observação: a falsificação do endereço MAC, Wi-Fi canal e SSID simultaneamente não foi considerada para este relatório e pode resultar em comportamento Wi-Fi inconsistente.) No geral, essa fraqueza é um problema fundamental para qualquer rede sem fio 802.11 que não tenha protocolos Enterprise WPA2, como EAP-TLS ou EAP-PWD, que Wi-Fi Direct não dá suporte.

Diretrizes de proteção do Surface Hub

O Surface Hub foi projetado para facilitar a colaboração e permitir que os usuários iniciem ou participem de reuniões com rapidez e eficiência. Os Wi-Fi configurações diretas padrão para o Surface Hub são otimizados para esse cenário.

Para segurança adicional da interface sem fio, os usuários do Surface Hub devem habilitar a configuração de segurança WPS-PIN. Essa configuração desabilita o modo WPS-PBC e oferece autenticação do cliente. Ele fornece o nível mais forte de proteção impedindo a conexão não autorizada com o Surface Hub.

Se você ainda tiver preocupações sobre autenticação e autorização para o Surface Hub, recomendamos que você conecte o dispositivo a uma rede separada. Você pode usar Wi-Fi (como uma rede de Wi-Fi "convidado" ou uma rede Ethernet separada, de preferência uma rede física totalmente diferente. Mas uma VLAN também pode fornecer segurança adicional. É claro que essa abordagem pode impedir conexões com recursos ou serviços de rede internos e pode exigir configuração de rede adicional para recuperar o acesso.

Também recomendado:

Saiba mais