บริการ CNG (Cryptographic Next Generation) Key Isolation ให้การแยกกระบวนการกุญแจสำหรับ private keys และการดำเนินการคริปโตกราฟิกหลายอย่างตามที่ Common Criteria กำหนด เส้นทางเริ่มต้นไปยัง executable ที่เกี่ยวข้องกับบริการ CNG Key Isolation คือ C:\ windows \ system32 \ lsass.exe.
อธิบาย CNG Key Isolation
บริการ CNG key isolation ทำงานเป็น LocalSystem ในกระบวนการร่วม (hosted ใน LSA process) บริการนี้จัดเก็บ long-lived keys เพื่อยืนยันตัวตนผู้ใช้ในบริการ Winlogon ตัวอย่างเช่น บริการ CNG Key Isolation จะจัดเก็บ wireless network key หรือข้อมูลคริปโตกราฟิกที่จำเป็นสำหรับ smart card การดำเนินการทั้งหมดที่ทำโดยบริการ CNG Key Isolation ทำได้โดยปฏิบัติตามข้อกำหนดของ Common Criteria
ในกรณีที่บริการ CNG Key Isolation ไม่สามารถโหลดหรือเริ่มต้นได้ พฤติกรรมจะถูกบันทึกใน Event Log ส่วนใหญ่บริการล้มเหลวในการเริ่มต้นเพราะบริการ Remote Procedure Call (RPC) ถูกหยุดหรือปิดใช้งานโดยบังคับ หากบริการ CNG Key Isolation หยุด Extensible Authentication Protocol (EAP) จะล้มเหลวในการเริ่มต้นและ initialize ตอนสตาร์ทอัพ
เช่นที่คุณจะเห็นด้านล่าง บริการ CNG key isolation แชร์ executable (lsass.exe) กับบริการอื่นๆ หลายตัว
Lsass.exe คืออะไร?
LSASS ย่อมาจาก Local Security Authority Subsystem Service ไฟล์ lsass.exe ที่แท้จริงเป็นส่วนประกอบซอฟต์แวร์ที่ถูกต้องของสภาพแวดล้อม Windows ไฟล์ executable นี้ถือเป็น core system local authority process ที่สร้างไว้ใน Windows ตำแหน่งเริ่มต้นของ lsass.exe อยู่ใน C:\ Windows \ System 32
กระบวนการ Lass.exe จัดการบริการตรวจสอบสิทธิ์หลัก 4 อย่างใน Windows:
- KeyIso (CNG Key Isolation) — บริการตรวจสอบสิทธิ์ที่สำคัญที่สุดที่ hosted ใน LSA process ให้การแยกกระบวนการกุญแจสำหรับ private keys และการดำเนินการคริปโตกราฟิกที่เกี่ยวข้อง
- EFS (Encrypting File System) — เทคโนโลยีเข้ารหัสไฟล์หลักที่ใช้หลักเพื่อจัดเก็บไฟล์ที่เข้ารหัสบนโวล्यุมระบบไฟล์ NTFS การหยุดบริการนี้จะป้องกันไม่ให้ระบบเข้าถึงไฟล์ที่เข้ารหัส
- SamSS (Security Accounts Manager) — วัตถุประสงค์หลักของบริการนี้คือทำหน้าที่เป็นสัญญาณและส่งสัญญาณให้บริการอื่นๆ เมื่อ Security Account Manager (SAM) พร้อมรับคำขอ การหยุดบริการนี้จะป้องกันไม่ให้บริการอื่นๆ ที่พึ่งพา Security Account Manager ได้รับการแจ้งเตือน สร้าง snowball effect ที่ทำให้บริการที่พึ่งพาแตกต่างล้มเหลวหรือเริ่มต้นผิดพลาด
- Local IPSEC Policy — จัดการและเริ่ม ISAKMP/Oakley (IKE) และไดรเวอร์ความปลอดภัย IP ต่างๆ ใน Windows Server
ความเสี่ยงด้านความปลอดภัยที่อาจเกิดขึ้นกับ lsass.exe
บางผู้ใช้ Windows พบว่า executable Lsass ใช้ทรัพยากรระบบมาก และสงสัยว่า lsass.exe เป็นไวรัสหรือมัลแวร์อื่น แม้จะเป็นไปได้ แต่โอกาสที่จะเกิดขึ้นนี้น้อยมาก
อย่างไรก็ตาม มีไวรัส copy-cat ที่รู้จักกันว่าติดเชื้อระบบโดยการแฝงตัวเข้าไปใน Lsass executable กระบวนการคล้ายกัน แต่ไม่เหมือนกับ Local Security Authority Subsystem Service ที่แท้จริง กระบวนการที่เป็นอันตรายชื่อ isass.exe ตรงข้ามกับกระบวนการที่แท้จริงที่ชื่อ lsass.exe หากคุณพบว่ากระบวนการเริ่มต้นด้วยตัว I พิมพ์ใหญ่ แทนที่จะเป็น L พิมพ์เล็ก ระบบของคุณอาจติดเชื้อแล้ว
คุณสามารถยืนยันทฤษฎีนี้ได้โดยตรวจสอบตำแหน่งของ lsass.exe โดยทั่วไป หาก executable Lsass ตั้งอยู่ใน C:\ Windows \ System 32 คุณสามารถสมมติได้อย่างปลอดภัยว่ามันคือ Local Security Authority Subsystem Service ที่แท้จริง เพื่อทำเช่นนี้ ให้เปิด Task Manager (Ctrl + Shift + Esc) และเลื่อนลงในรายการ Processes ไปที่ Local Security Authority Process. คลิกขวาและเลือก Open file location หากกระบวนการไม่อยู่ใน System 32 คุณสามารถมั่นใจได้ว่าคุณกำลังจัดการกับการติดเชื้อมัลแวร์
“Isass.exe” เป็นไวรัสโทรจันที่มีคุณสมบัติ keylogging รู้จักในวงกว้างว่าเป็นครอบครัว Sasser worm วัตถุประสงค์หลักคือการเก็บข้อมูลจากระบบของคุณลับๆ ด้วยการบันทึกทุก keystroke ที่คุณพิมพ์ ไวรัสถูกกำหนดให้ไปหา username, password, หมายเลขบัตรเครดิต และข้อมูลละเอียดอ่อนอื่นๆ ที่ใช้เพื่อการได้เปรียบทางการเงินที่ไม่ถูกต้อง
ไวรัสนี้มีมาหลายปีแล้ว และ Microsoft ได้ดำเนินการมาตรการต่อต้านมันแล้ว หากคุณพบว่าคุณติดเชื้อ คุณสามารถใช้ Microsoft Malware Removal tool เพื่อกำจัดร่องรอยของ Sasser worm หลังจากติดเชื้อผู้ใช้ Windows 7 และ XP จำนวนมากเป็นเดือนๆ Microsoft ได้แก้ไขช่องโหว่ที่อนุญาตให้ไวรัสติดเชื้อเครื่อง Windows ตั้งแต่ตอนนี้ ไม่สามารถติดเชื้อ Sasser worm ได้อีกหากคุณมี Windows security updates ล่าสุด
ฉันควรปิดบริการ CNG key isolation หรือไม่?
ไม่ บริการ CNG key isolation เป็นกระบวนการระบบสำคัญที่จำเป็นสำหรับจัดเก็บข้อมูลคริปโตกราฟิกอย่างปลอดภัย ภายใต้สภาพแวดล้อมใดๆ บริการ CNG Key Isolation (KeyISO) Service ที่แท้จริงไม่ควรถูกปิดใช้งานถาวร
การสิ้นสุดกระบวนการ lsass.exe ใน Task Manager จะหยุดบริการ CNG key isolation ด้วย แต่โปรดทราบว่าสิ่งนี้อาจทำให้ระบบของคุณปิดตัวลงโดยบังคับ เนื่องจากมันควบคุมส่วนสำคัญที่สุดของความปลอดภัยการล็อกอิน CNG key isolation จึงเป็นฟังก์ชันที่จำเป็นของ Windows
อย่างไรก็ตาม หากคุณสงสัยว่า CNG key isolation service ทำงานไม่ถูกต้องหรือก่อให้เกิดปัญหากับระบบของคุณ คุณสามารถลองรีสตาร์ทบริการได้ โดยการเปิด Run window (Windows key + R) และพิมพ์ services.msc จากนั้นกด Enter เพื่อเปิดหน้าต่าง Services
ในหน้าต่าง Services ให้เลื่อนลงไปที่บริการ CNG Key Isolation คลิกขวาบริการแล้วเลือก Restart เพื่อบังคับให้เริ่มต้นใหม่
หมายเหตุ: โปรดทราบว่าขึ้นอยู่กับว่าบริการ CNG Key Isolation กำลังใช้งานอยู่หรือไม่ คุณอาจเจอการรีบูทระบบที่ไม่คาดคิด อย่ารีสตาร์ทบริการนี้หากคุณไม่มีเหตุผลที่ถูกต้อง
