Surface Hub 보안 개요

  • 아티클
  • 적용 대상:
    Surface Hub, Surface Hub 2S

Surface Hub 및 Surface Hub 2S는 Windows 10 Team 운영 체제를 실행하는 사용자 지정 플랫폼 펌웨어에서 잠긴 어플라이언스 같은 환경을 제공합니다. 결과 디바이스는 기존의 "일회용" 보안 키오스크, "필요한 것만 실행" 철학을 사용하고 최신 기능을 제공합니다. 다양한 공동 작업 사용자 환경을 지원하도록 만들어진 Surface Hub는 지속적으로 진화하는 보안 위협으로부터 보호됩니다.

Windows 10을 기반으로 하는 Surface Hub는 IT 관리자가 BitLocker, TPM(신뢰할 수 있는 플랫폼 모듈 2.0) 및 Windows Defender(Microsoft Defender라고도 함)를 포함한 클라우드 기반 보안을 통해 데이터 보호를 강화할 수 있도록 하는 엔터프라이즈급 최신 보안 기능을 제공합니다.

팁

Surface Hub 3의 경우 Surface Hub 3 보안 모범 사례를 참조하세요.

심층 방어 보안

보안 프로토콜은 Surface Hub가 켜진 직후에 시작됩니다. 펌웨어 수준에서부터 Surface Hub는 여러 보안 검사에 대응하여 운영 체제와 해당 구성 요소만 로드합니다. Surface Hub는 부분 오류가 발생할 경우 시스템 전체를 보호하기 위해 독립적인 방어 하위 구성 요소를 계층화하여 포함하는 심층 방어 전략을 사용합니다. 이러한 업계 관행은 하위 구성 요소의 잠재적인 일방적인 악용과 약점을 완화하는 데 매우 효과적인 것으로 입증되었습니다.

최신 UEFI(통합 확장 펌웨어 인터페이스)는 내부 저장소에서 인증된 Windows 10 Team 운영 체제만 부팅하도록 Microsoft에서 정적이고 안전하게 구성되었습니다. Surface Hub에서 실행되는 모든 코드 줄에는 실행 전에 서명이 확인됩니다. 운영 체제의 일부로 또는 Microsoft Store를 통해 설치된 Microsoft에서 서명한 응용 프로그램만 Surface Hub에서 실행할 수 있습니다. 이러한 요구 사항을 충족하지 않는 코드 또는 앱은 차단됩니다.

Surface Hub 보안 시스템은 다음을 포함합니다.

  • 부팅 시 방어 신뢰할 수 있는 Surface Hub 운영 체제 구성 요소만 로드합니다.
  • 운영 체제 방어 의도하지 않은 소프트웨어 또는 악성 소프트웨어 또는 코드의 실행으로부터 보호합니다.
  • 사용자 인터페이스 방어 최종 사용자에게 안전한 사용자 인터페이스를 제공하여 명령줄에서 실행 파일을 실행하는 것과 같은 위험할 수 있는 활동에 대한 액세스를 차단합니다.

부팅 시 방어

SoC에는 다른 모든 코어와는 분리된 보안 프로세서가 있습니다. Surface Hub를 처음 시작하면 다른 항목을 로드하기 전에 보안 프로세서가 시작됩니다.

보안 프로세서 보호를 보여주는 Hub 시작 부팅 단계.

보안 부팅

보안 부팅은 드라이버 및 운영 체제를 포함하여 부팅 프로세스의 구성 요소가 유효하고 알려진 서명의 데이터베이스에 대해 검증되었는지 확인하는 데 사용됩니다. Surface Hub에서 먼저 플랫폼 관련 서명의 유효성을 검사한 후에 공인 Windows Team 운영 체제를 로드할 수 있습니다. 이를 통해 정상적인 사용자 환경으로 보이는 악성 코드를 실행하는 복제되거나 수정된 시스템의 공격을 방지할 수 있습니다. 자세한 내용은 보안 부팅 개요를 참조하세요.

운영 체제 방어

운영 체제가 Microsoft와 Surface Hub에서 만든 것으로 확인되면 장치가 부팅 프로세스를 성공적으로 완료하고 실행 코드를 자세히 조사합니다. 운영 체제 보안에 대한 이 접은 방식으로 모든 실행 파일에 대한 코드 서명을 식별하여 제한 사항을 통과하는 기능만 런타임으로 로드하도록 할 수 있습니다. 이 코드 서명 방법을 사용하면 운영 체제에서 작성자를 확인하고 디바이스에서 실행하기 전에 코드가 변경되지 않은지 확인할 수 있습니다.

Surface Hub는 Windows Application Control(이전까지의 Device Guard)에서 UMCI(사용자 모드 코드 무결성)라는 코드 서명 기능을 사용합니다. 정책 설정은 다음 요구 사항 중 하나를 충족하는 앱만 허용하도록 구성되어 있습니다.

  • 공식적으로 인증된 유니버설 Windows 플랫폼(Microsoft Store) 앱.
  • 고유한 Microsoft 프로덕션 루트 CA(인증 기관)로 서명된 앱(해당 인증서에 대한 액세스 권한이 부여된 Microsoft 직원만 서명할 수 있음).
  • 고유한 Surface Hub 프로덕션 루트 C로 서명된 앱.

구성 파일은 타사에서 제한을 제거하거나 수정할 수 없도록 설계된 Microsoft 프로덕션 루트 CA를 사용하여 서명됩니다. 이 시점의 다른 모든 실행 파일은 운영 체제 런타임 수준에서 간단히 차단되며 처리 능력에는 액세스할 수 없습니다. 이 공격 표면 축소는 다음과 같은 보호를 제공합니다.

  • 레거시 문서 모드 없음
  • 레거시 스크립트 엔진 없음
  • VML(Vector Markup Language) 없음
  • 브라우저 도우미 개체 없음
  • ActiveX 컨트롤 없음

Surface Hub는 UMCI를 통해 서명되지 않거나 잘못 서명된 코드를 차단하는 것 외에도 Windows Application Control을 사용하여 명령 프롬프트, PowerShell 및 작업 관리자와 같은 Windows 구성 요소를 차단합니다. 이러한 보호책은 안전한 컴퓨팅 어플라이언스로 Surface Hub의 주요 설계 기능을 반영합니다. 자세한 내용은 다음을 참조하십시오.

사용자 인터페이스 방어

부팅 시 방어 및 운영 체제 잠금 보호책은 기초 보안을 제공하지만, 사용자 인터페이스는 위험을 더 줄이기 위해 설계된 추가 계층을 제공합니다. 드라이버를 통해 악성 코드가 장치에 도달하는 것을 방지하기 위해 Surface Hub는 PnP(plug and play) 장치용 고급 드라이버를 다운로드하지 않습니다. USB 플래시 드라이브 또는 인증된 Surface Hub 주변 장치(스피커, 마이크, 카메라)와 같은 기본 드라이버를 활용하는 디바이스는 예상대로 작동하지만 프린터와 같은 고급 시스템은 작동하지 않습니다.

사용자 인터페이스 방어는 또한 UI를 단순화하여 악성 소프트웨어 또는 코드가 실행되지 않도록 방지합니다. 다음 Surface Hub UI 요소는 코드 서명으로 제공되는 핵심 보안을 계층화합니다.

  • 파일 탐색기 Surface Hub에는 사용자를 시스템이나 프로그램 파일에 노출하지 않고도 음악, 비디오, 문서, 그림, 다운로드 폴더에 빠르게 액세스할 수 있는 사용자 지정 파일 탐색기가 있습니다. 로컬 하드 드라이브의 다른 위치는 파일 탐색기를 통해 사용할 수 없습니다. 또한 .exe 및 .msi 설치 파일과 같이 실행되는 많은 파일 형식을 실행할 수 없으므로 잠재적으로 악의적인 실행 파일에 대해 다른 보안 계층을 제공합니다.

  • 시작 및 모든 앱 Surface Hub의 시작 및 모든 앱 구성 요소는 Application Control를 통해 차단되는 명령 프롬프트, PowerShell 또는 기타 Windows 구성 요소에 대한 액세스를 노출하지 않습니다. 또한, 일반적으로 Surface Hub에 대한 검색 상자에서 PC에 액세스하는 Windows 실행 기능은 꺼져 있습니다.

Surface Hub 2S 보안 강화

Surface Hub와 Surface Hub 2S는 모두 동일한 운영 체제 소프트웨어를 실행하지만 Surface Hub 2S 고유의 일부 기능은 추가 관리 및 보안 기능을 제공하여 IT 관리자가 다음 작업을 수행할 수 있도록 합니다.

  • SEMM으로 UEFI 설정 관리하기
  • 부트 가능한 USB를 사용하여 Hub 복구하기
  • 암호 순환으로 장치 계정 강화하기

SEMM으로 UEFI 설정 관리하기

UEFI는 기본 하드웨어 플랫폼 부분과 운영 체제 간의 인터페이스입니다. Surface Hub에서 사용자 지정 UEFI 구현을 사용하면 이러한 설정을 세밀하게 제어하고, Microsoft 이외의 엔터티가 장치의 UEFI 설정을 변경하거나 이동식 드라이브로 부팅하여 운영 체제를 수정하거나 변경할 수 없습니다.

개략적으로 공장 프로비전 프로세스가 진행되는 동안 Surface Hub UEFI는 보안 부팅을 사용할 수 있도록 미리 구성되어 있으며, UEFI 메뉴에 대한 액세스가 잠겨 있고 바로 가기 키가 제거된 내부 SSD(Solid-State Drive)로만 부팅하도록 설정됩니다. 이렇게 하면 UEFI 액세스를 봉인하고, 장치가 Surface Hub에 설치된 Windows Team 운영 체제로만 부팅할 수 있습니다.

SEMM(Microsoft Surface Enterprise 관리 모드)를 통해 관리되는 경우 IT 관리자는 조직 전체에서 Hub 장치에 UEFI 설정을 배포할 수 있습니다. 여기에는 기본 제공 하드웨어 구성 요소를 사용하거나 사용하지 않도록 설정하고, 권한이 없는 사용자가 UEFI 설정을 변경하지 못하도록 보호하고, 부팅 설정을 조정하는 기능이 포함됩니다.

Surface Hub UEFI 설정.

관리자는 다운로드 가능한 Microsoft Surface UEFI 구성기를 사용하여 SEMM과 등록된 Surface Hub 2S 장치를 구현할 수 있습니다. 자세한 내용은 SEMM을 사용하여 Surface Hub 보안 및 관리를 참조하세요.

부트 가능한 USB를 사용하여 Hub 복구하기

Surface Hub 2S를 사용하면 관리자는 복구 이미지를 사용하여 20분 이내에 장치를 공장 설정으로 다시 설치할 수 있습니다. 일반적으로 Surface Hub가 더 이상 작동하지 않는 경우에만 이 작업을 수행해야 합니다. 복구는 Bitlocker 키를 분실하거나 더 이상 설정 앱에 대한 관리자 자격 증명을 보유하고 있지 않은 경우에도 유용합니다.

암호 순환으로 장치 계정 강화하기

Surface Hub는 "룸 계정"이라고도 하는 디바이스 계정을 사용하여 Exchange, Microsoft Teams 및 기타 서비스를 인증합니다. 암호 회전을 사용하도록 설정하면 허브 2S는 대문자와 소문자, 숫자 및 특수 문자가 조합된 15~32자로 구성된 7일마다 자동으로 새 암호를 생성합니다. 아무도 암호를 알지 않으므로 디바이스 계정 암호 회전은 사용자 오류 및 잠재적인 사회 공학 보안 공격으로 인한 관련 위험을 효과적으로 완화합니다.

엔터프라이즈급 보안

이 문서에서 다루는 Surface Hub 관련 구성 및 기능 외에도 Surface Hub는 표준 Windows 보안 기능도 사용합니다. 확인할 수 있습니다.

  • BitLocker Surface Hub SSD는 BitLocker를 장착하여 장치의 데이터를 보호합니다. 해당 구성은 업계 표준을 따릅니다. 자세한 내용은 BitLocker 개요를 참조하세요.
  • Windows Defender Windows Defender 맬웨어 방지 엔진은 Surface Hub에서 지속적으로 실행되며, Surface Hub에서 발견되는 위협을 자동으로 해결합니다. Windows Defender 엔진은 자동으로 업데이트를 받으며, IT 관리자용 원격 관리 도구를 통해 관리할 수 있습니다. Windows Defender 엔진은 심층 방어 접근 방식을 완벽하게 보여 주는 예제입니다. 맬웨어가 핵심 코드 신호 기반 보안 솔루션을 찾는 방법을 찾을 수 있는 경우 여기에서 발견됩니다. 자세한 내용은 Windows Defender Application Control 및 코드 무결성의 가상화 기반 보호를 참조하세요.
  • 플러그 앤 플레이 드라이버. 드라이버를 통해 악성 코드가 장치에 도달하는 것을 방지하기 위해 Surface Hub는 PnP 장치용 고급 드라이버를 다운로드하지 않습니다. 이를 통해 USB 플래시 드라이브와 같은 기본 드라이버를 활용하는 장치는 프린터와 같은 고급 시스템을 차단하면서 예상대로 작동할 수 있습니다.
  • 신뢰할 수 있는 플랫폼 모듈 2.0 Surface Hub에는 암호화 키 및 해시를 생성하고 저장하기 위한 산업 표준 dTPM(개별 신뢰할 수 있는 플랫폼 모듈)이 있습니다. dTPM은 부팅 단계, BitLocker 마스터 키, 암호가 없는 sign-on 키 등을 확인하는 데 사용되는 키를 보호합니다. dTPM은 FIPS 140-2 수준 2 인증, 미국 정부 컴퓨터 보안 표준을 충족하고, 전 세계에서 사용하는 공통 평가 기준 인증을 준수합니다.

Surface Hub에 대한 무선 보안

Surface Hub는 Wi-Fi Direct/Miracast 기술과 관련된 802.11, WPA2(Wi-Fi Protected Access) 및 WPS(Wireless Protected Setup) 표준을 사용합니다. 디바이스는 WPS만 지원하므로(WPA2 PSK(미리 공유한 키) 또는 WPA2 엔터프라이즈는 지원하지 않음) 기존에 802.11 암호화와 관련된 문제가 설계상 간단해집니다.

Surface Hub는 Miracast 수신기 필드와 동등하게 작동합니다. 따라서 모든 WPS 기반 무선 네트워크 디바이스와 유사한 악용 집합에 취약합니다. 그러나 WPS의 Surface Hub 구현에는 추가 예방 조치가 내장되어 있습니다. 또한 내부 아키텍처는 Wi-Fi Direct/Miracast 계층을 손상한 공격자가 네트워크 인터페이스를 지나 다른 공격 표면 및 연결된 엔터프라이즈 네트워크로 이동하는 것을 방지하는 데 도움이 됩니다.

Miracast는 Wi-Fi Direct 프로토콜이 지원하는 Wi-Fi 디스플레이 표준의 일부입니다. 이러한 표준은 화면 공유 및 공동 작업을 위해 최신 모바일 디바이스에서 지원됩니다 Wi-Fi Direct 또는 Wi-Fi "P2P"(피어 투 피어)는 Wi-Fi Alliance가 "애드혹" 네트워크용으로 발표한 표준입니다. 이 표준은 지원되는 디바이스가 일반적인 Wi-Fi 액세스 지점 또는 인터넷 연결 없이 직접 통신하고 네트워크 그룹을 만들도록 허용합니다.

Wi-Fi Direct에 대한 보안은 WPA2가 WPS 표준을 사용하여 제공합니다. 숫자 핀, 물리적 또는 가상 누름 단추 또는 근거리 통신을 사용하는 대역 외 메시지를 사용하여 장치를 인증할 수 있습니다. Surface Hub는 기본적으로 누름 단추와 PIN 메서드를 모두 지원합니다.

Surface Hub가 Wi-Fi 직접 취약성을 해결하는 방법

Wi-Fi 직접 초대, 브로드캐스트 및 검색 프로세스의 취약성 및 공격: Wi-Fi Direct/Miracast 공격은 그룹 설정, 피어 검색, 디바이스 브로드캐스트 또는 초대 프로세스의 약점을 대상으로 할 수 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
검색 프로세스는 오랜 시간 동안 활성 상태로 유지될 수 있으므로 디바이스 소유자의 승인 없이 초대 및 연결을 설정할 수 있습니다. Surface Hub는 클라이언트 검색 또는 GO 협상 프로세스를 수행하지 않는 그룹 소유자로만 작동합니다. 무선 프로젝션을 완전히 사용하지 않도록 설정하여 브로드캐스트를 끌 수 있습니다.
PBC를 통한 초대 및 검색을 통해 인증되지 않은 공격자가 반복된 연결 시도를 수행하거나 인증되지 않은 연결이 자동으로 수락됩니다. 관리자는 WPS PIN 보안을 요구하여 사용자가 실수로 수락할 때까지 초대가 반복적으로 전송되는 이러한 무단 연결 또는 "초대 폭탄"의 가능성을 줄일 수 있습니다.

WPS(Wi-Fi 보호 설정) PBC(푸시 단추 연결) 및 PIN 항목: 공용 약점은 WPS-PIN 메서드 디자인 및 구현에서 입증되었습니다. WPS-PBC에는 일회성 사용을 위해 설계된 프로토콜에 대한 활성 공격을 허용할 수 있는 다른 취약성이 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
WPS-PBC는 능동적 공격자에 취약합니다. WPS 사양은 "PBC 메서드는 엔트로피가 0비트이며 수동 도청 공격으로부터만 보호합니다. PBC는 도청 공격으로부터 보호하고 디바이스 소유자가 선택하지 않은 네트워크에 디바이스를 조인하지 못하도록 조치를 취합니다. 그러나 인증이 없으면 PBC가 활성 공격으로부터 보호하지 않습니다." 공격자는 선택적 무선 방해 또는 기타 서비스 거부 기술을 사용하여 의도하지 않은 Wi-Fi Direct GO 또는 연결을 트리거할 수 있습니다. 또한 물리적 근접성만 있는 활성 공격자는 Wi-Fi 직접 그룹을 반복적으로 해체하고 성공할 때까지 공격을 시도할 수 있습니다. Surface Hub 구성에서 WPS-PIN 보안을 사용하도록 설정합니다. Wi-Fi WPS 사양은 "PBC 메서드는 PIN 지원 등록자를 사용할 수 없고 WLAN 사용자가 PBC와 관련된 위험을 기꺼이 수락할 경우에만 사용해야 합니다."
WPS-PIN 구현은 WPS 표준의 취약성을 대상으로 하는 무차별 암호 대입 공격의 대상이 될 수 있습니다. 분할 PIN 확인의 설계로 인해 지난 몇 년 동안 다양한 Wi-Fi 하드웨어 제조업체에서 여러 구현 취약성이 발생했습니다. 2011년, 연구원 스테판 비에보크와 크레이그 헤프너는 이 취약성에 대한 정보와 개념 증명으로 "Reaver"와 같은 도구를 발표했습니다. Surface Hub에서 Microsoft의 WPS 구현은 30초마다 PIN을 변경합니다. PIN을 해독하려면 공격자가 30초 이내에 전체 익스플로잇을 완료해야 합니다. 이 분야의 도구 및 연구의 현재 상태를 감안할 때 WPS를 통한 무차별 암호 대입 PIN 크래킹 공격은 성공하지 못할 수 있습니다.
WPS-PIN은 약한 초기 키(E-S1, E-S2) 엔트로피로 인해 오프라인 공격에 의해 금이 간 수 있습니다. 2014년 도미니크 본가드는 무선 장치의 의사 난수 생성기(PRNG)에 대한 초기 무작위성이 좋지 않아 오프라인 무차별 암호 대입 공격을 허용하는 "픽시 더스트" 공격을 설명했습니다. Surface Hub에서 Microsoft의 WPS 구현은 이 오프라인 PIN 무차별 암호 대입 공격에 취약하지 않습니다. WPS-PIN은 각 연결에 대해 임의 지정됩니다.

네트워크 서비스의 의도하지 않은 노출: 이더넷 또는 WLAN 서비스를 위한 네트워크 디먼이 잘못된 구성(예: "all"/0.0.0.0 인터페이스에 바인딩)으로 인해 실수로 노출될 수 있습니다. 다른 가능한 원인으로는 잘못 구성된 디바이스 방화벽 또는 누락된 방화벽 규칙이 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
잘못된 구성은 취약하거나 인증되지 않은 네트워크 서비스를 Wi-Fi Direct 인터페이스를 포함하여 "모든" 인터페이스와 바인딩합니다. 이렇게 하면 약하거나 자동으로 인증될 수 있는 Wi-Fi Direct 클라이언트에서 액세스할 수 없는 서비스가 노출될 수 있습니다. Surface Hub에서 기본 방화벽 규칙은 필요한 TCP 및 UDP 네트워크 포트만 허용하고 기본적으로 모든 인바운드 연결을 거부합니다. WPS-PIN 모드를 사용하도록 설정하여 강력한 인증을 구성합니다.

Wi-Fi Direct 및 기타 유선 또는 무선 네트워크 브리징: WLAN 또는 이더넷 네트워크 간의 네트워크 브리징은 Wi-Fi 직접 사양을 위반하는 것입니다. 이러한 브리지 또는 잘못된 구성은 내부 회사 네트워크에 대한 무선 액세스 제어를 효과적으로 낮추거나 제거할 수 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
Wi-Fi Direct 장치는 브리지된 네트워크 연결에 대한 인증되지 않은 또는 빈약하게 인증된 액세스를 허용할 수 있습니다. 이렇게 하면 Wi-Fi 직접 네트워크가 기존 IT 보안 프로토콜을 위반하여 트래픽을 내부 이더넷 LAN 또는 기타 인프라 또는 엔터프라이즈 WLAN 네트워크로 라우팅할 수 있습니다. 무선 인터페이스를 연결하거나 서로 다른 네트워크 간의 라우팅을 허용하도록 Surface Hub를 구성할 수 없습니다. 기본 방화벽 규칙이 그러한 라우팅 또는 브리지 연결에 대한 심층적 방어를 추가합니다.

Wi-Fi Direct "레거시" 모드 사용: 의도하지 않은 네트워크 또는 디바이스에 대한 노출은 "레거시" 모드에서 작동할 때 발생할 수 있습니다. WPS-PIN을 사용하지 않을 경우 디바이스 스푸핑 또는 의도하지 않은 연결이 발생할 수 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
Wi-Fi Direct 및 802.11 인프라 클라이언트를 모두 지원하여 시스템이 "레거시" 지원 모드에서 작동합니다. 이렇게 하면 연결 설정 단계가 무기한 노출되어 그룹이 조인되거나 디바이스가 의도한 설정 단계가 종료된 후 연결이 잘 될 수 있습니다. Surface Hub는 Wi-Fi 직접 레거시 클라이언트를 지원하지 않습니다. WPS-PIN 모드를 사용하더라도 Surface Hub와는 Wi-Fi Direct 연결만 가능합니다.

연결 설정 중 GO 협상 Wi-Fi Direct: Wi-Fi Direct의 그룹 소유자는 기존 802.11 무선 네트워크의 "액세스 지점"과 유사합니다. 협상은 악성 디바이스의 먹잇감이 될 수 있습니다.

Wi-Fi 직접 취약성 Surface Hub 완화
그룹이 동적으로 설정되거나 Wi-Fi Direct 디바이스를 만들어 새 그룹에 조인할 수 있는 경우 그룹 소유자 협상은 항상 최대 그룹 소유자 "의도" 값 15를 지정하는 악성 디바이스에서 이뤄질 수 있습니다. 그러나 디바이스가 항상 그룹 소유자로 구성된 경우 연결이 실패합니다. Surface Hub는 연결 설정의 GO 협상 단계를 건너뛰는 Wi-Fi 직접 "자율 모드"를 활용합니다. 또한 Surface Hub는 항상 그룹 소유자입니다.

의도하지 않거나 악의적인 Wi-Fi 인증: Wi-Fi 인증은 로컬 공격자가 연결 설정 프로세스에서 정보 유출을 신속하게 처리하거나, 새로운 4방향 핸드셰이크를 트리거하고, 활성 공격을 위해 직접 WPS-PBC를 대상으로 Wi-Fi 또는 서비스 거부 공격을 만들 수 있는 오래된 공격입니다.

Wi-Fi 직접 취약성 Surface Hub 완화
인증되지 않은 공격자가 인증되지 않은 패킷을 전송하여 스테이션이 다시 인증된 다음 결과 핸드셰이크를 스니핑할 수 있습니다. 결과 핸드세이크에 대해 암호화 또는 무차별 암호 대입 공격을 시도할 수 있습니다. 이러한 공격에 대한 완화에는 사전 공유 키에 대한 길이 및 복잡성 정책 적용, 악의적인 수준의 인증 패킷을 검색하도록 액세스 지점 구성(해당하는 경우), WPS를 사용하여 강력한 키를 자동으로 생성하는 것이 포함됩니다. PBC 모드에서 사용자는 물리적 또는 가상 단추와 상호 작용하여 임의의 디바이스 연결을 허용합니다. 이 프로세스는 짧은 기간 내에 설치 시에만 수행되어야 합니다. 단추가 자동으로 "푸시"된 후 디바이스는 정식 PIN 값(모든 0)을 통해 연결하는 모든 스테이션을 허용합니다. 인증 해제는 반복된 설정 프로세스를 강요할 수 있습니다. Surface Hub는 PIN 또는 PBC 모드에서 WPS를 사용합니다. PSK 구성이 허용되지 않습니다. 이 메서드는 강력한 키 생성을 적용하는 데 도움이 됩니다. Surface Hub에 WPS-PIN 보안을 사용하도록 설정하는 것이 가장 좋습니다.
서비스 거부 공격 외에도 인증 거부 패킷을 사용하여 WPS-PBC에 대한 활성 공격 기회의 창을 다시 여는 다시 연결 트리거를 트리거할 수 있습니다. Surface Hub 구성에서 WPS-PIN 보안을 사용하도록 설정합니다.

기본 무선 정보 공개: 무선 네트워크( 802.11 또는 그 외)는 본질적으로 정보 공개의 위험에 처해 있습니다. 이 정보는 대부분 연결 또는 디바이스 메타데이터이지만 이 문제는 802.11 네트워크 관리자에게 알려진 위험으로 남아 있습니다. WPS-PIN을 통한 디바이스 인증을 사용하는 Wi-Fi Direct는 PSK 또는 엔터프라이즈 802.11 네트워크와 동일한 정보를 효과적으로 드러냅니다.

Wi-Fi 직접 취약성 Surface Hub 완화
브로드캐스트, 연결 설정 또는 이미 암호화된 연결의 정상적인 작업 중에 디바이스 및 패킷 크기에 대한 기본 정보가 무선으로 전송됩니다. 기본 수준에서 무선 범위 내에 있는 로컬 공격자는 관련 802.11 정보 요소를 검사하여 무선 디바이스의 이름, 통신 장비의 MAC 주소 및 무선 스택 버전, 패킷 크기 또는 구성된 액세스 지점 또는 그룹 소유자 옵션과 같은 기타 세부 정보를 확인할 수 있습니다. Surface Hub에서 사용하는 Wi-Fi Direct 네트워크는 802.11 Enterprise 또는 PSK 무선 네트워크와 마찬가지로 메타데이터 누수로부터 더 이상 보호할 수 없습니다. 무선 근접에서 물리적 보안 및 잠재적 위협을 제거하면 잠재적인 정보 누출을 줄일 수 있습니다.

무선 악한 트윈 또는 스푸핑 공격: 무선 이름을 스푸핑하는 것은 로컬 공격자가 의심하지 않거나 잘못된 사용자를 연결하도록 유인하는 데 사용할 수 있는 간단하고 잘 알려진 악용입니다.

Wi-Fi 직접 취약성 Surface Hub 완화
공격자가 대상 네트워크의 무선 이름 또는 "SSID"를 스푸핑하거나 복제하면 사용자가 가짜 악성 네트워크에 연결하도록 속일 수 있습니다. 인증되지 않은 자동 조인 Miracast를 지원함으로써 공격자는 의도한 디스플레이 자료를 캡처하거나 연결 디바이스에서 네트워크 공격을 시작할 수 있습니다. 스푸핑된 Surface Hub 조인에 대한 특정 보호 기능은 없지만 이 취약성은 두 가지 방법으로 부분적으로 완화됩니다. 첫째, 잠재적 공격이 물리적으로 Wi-Fi 범위 안에 있어야 합니다. 둘째, 이 공격은 첫 번째 연결 중에만 가능합니다. 후속 연결은 영구 Wi-Fi Direct 그룹을 사용하며, Windows는 향후 허브 사용 중에 이 이전 연결을 기억하고 우선 순위를 지정합니다. (참고: MAC 주소, Wi-Fi 채널 및 SSID를 동시에 스푸핑하는 것은 이 보고서에 대해 고려되지 않았으며 일관되지 않은 Wi-Fi 동작을 초래할 수 있습니다.) 전반적으로 이 약점은 Direct가 지원하지 않는 EAP-TLS 또는 EAP-PWD와 같은 엔터프라이즈 WPA2 프로토콜이 없는 802.Wi-Fi 11 무선 네트워크의 근본적인 문제입니다.

Surface Hub 강화 지침

Surface Hub는 공동 작업을 촉진하고 사용자가 신속하고 효율적으로 회의를 시작 또는 참여할 수 있도록 설계되었습니다. Surface Hub의 기본 Wi-Fi 직접 설정은 이 시나리오에 최적화되어 있습니다.

추가 무선 인터페이스 보안을 위해 Surface Hub 사용자는 WPS-PIN 보안 설정을 사용하도록 설정해야 합니다. 이 설정은 WPS-PBC 모드를 사용하지 않도록 설정하고 클라이언트 인증을 제공합니다. Surface Hub에 대한 무단 연결을 방지하여 가장 강력한 수준의 보호를 제공합니다.

Surface Hub에 대한 인증 및 권한 부여에 대한 우려가 여전히 있는 경우 디바이스를 별도의 네트워크에 연결하는 것이 좋습니다. Wi-Fi(예: "게스트" Wi-Fi 네트워크) 또는 별도의 이더넷 네트워크(바람직하게는 완전히 다른 물리적 네트워크)를 사용할 수 있습니다. 그러나 VLAN은 추가 보안을 제공할 수도 있습니다. 물론 이 방법은 내부 네트워크 리소스 또는 서비스에 대한 연결을 배제할 수 있으며 액세스 권한을 다시 회복하기 위해 추가 네트워크 구성이 필요할 수 있습니다.

또한 다음을 권장합니다.

세부 정보