윈로그온

3. 주요 기능

윈로그온은 인증 정책과 독립적인 인터페이스 함수들을 다룬다. 윈로그온은 윈도우 스테이션을 위해 데스크톱을 생성하고, 타임아웃 과정을 구현하며, 윈도우 비스타 버전 이전에는 GINA를 위한 지원 함수를 제공하고, 머신의 설정과 사용자의 그룹 정책에 대한 책임을 가졌다.^[1]

윈로그온은 또한 윈도우 XP 버전 이후로는 이 윈도우가 합법적인 라이선스를 가졌는지도 확인한다.^[1]

윈로그온의 주요 기능은 다음과 같다:^[1]

• 표준 SAS 인식: 윈로그온은 Control-Alt-Delete 보안 주의 순차(SAS) 이벤트를 감시할 수 있게 해주는 User32 서버에 대한 특별한 훅(hook)을 가진다. 윈로그온은 이 SAS 이벤트 정보를 GINA가 자신의 SAS로서 사용 가능하게 만들어 준다.
• SAS 루틴 디스패칭: 윈로그온이 SAS 이벤트에 직면하거나 GINA에 의해 SAS가 배달될 경우, 윈로그온은 상황에 맞는 설정을 하고, 윈로그온 데스크톱으로 바꾸며, GINA의 SAS 처리 함수 중 하나를 호출한다.
• 사용자 셸에 대한 보안 할당: 사용자가 로그온을 하면, GINA는 하나 또는 그 이상의 사용자 초기 프로세스를 생성할 책임이 있다. 윈로그온은 GINA를 위한 지원 함수를 제공하여 로그온한 사용자의 보안을 이 프로세스들에 적용되게 한다.

3. 1. 사용자 인증

3. 2. 윈도우 스테이션 및 데스크톱 보호

3. 3. 사용자 프로필 로딩

3. 4. 화면 보호기 제어

3. 5. 다중 네트워크 공급자 지원

3. 6. 사용자 전환

3. 7. 자동 로그온

4. 취약점 및 보안 문제

윈로그온은 기능 및 메모리 사용을 수정할 수 있는 여러 위협의 일반적인 대상이다. 윈로그온은 특정 이벤트에 대해 로드되고 알림을 받는 플러그인을 지원한다.^[6] 일부 루트킷은 사용자가 로그인하기 전에 로드되기 때문에 윈로그온 플러그인을 번들로 제공한다. 일부 레지스트리 키는 악성 프로그램이 합법적인 시스템 파일과 동시에 실행될 수 있도록 여러 값을 제공할 수 있다.^[7]

• Windows Vista 이전의 Windows에서는 패스워드 문자 수가 짧을 경우, LM 해시를 기록해 버림으로써, 레인보우 테이블 등의 기술로 쉽게 크래킹될 수 있는 취약성이 있다. 이는 레지스트리 설정을 변경하거나, 패스워드를 길게 하는 수밖에 없다.
• Windows XP 등에서는 인터넷 임시 파일 내의 숨겨진 폴더 "Content.IE5" 내의 이미지 등의 캐시 데이터의 파일명이나 확장자가 너무 긴 경우 로그온 시 오류가 발생하여 로그온할 수 없게 되는 문제가 있다. 어떤 웹 페이지에 취약점을 이용한 스크립트가 포함되어 있었거나, 캐시된 데이터의 이름이 너무 긴 등의 원인이 있지만, 발생한 경우에는 통상적인 방법으로는 로그온할 수 없으므로 안전 모드로 부팅하여 시스템 복원을 수행하는 등의 복구를 시도해야 한다.^[13]
• Winlogon의 취약점을 이용하여 CPU 사용률을 이상하게 높게 만드는 악성 스파이웨어가 존재하며, 아무것도 하지 않아도 CPU 사용률이 변동하는 경우, 그 스파이웨어에 감염되었을 가능성이 있다.

5. 한국의 윈로그온 관련 이슈

(이전 출력이 비어있으므로, 수정할 내용이 없습니다. 원본 소스(source)가 제공되어야 작업을 수행할 수 있습니다.)

참조

_[1] 웹사이트 Windows Administration: Inside the Windows Vista Kernel: Part 2 https://learn.micros[...] 2023-05-14
_[2] 서적 Microsoft Windows Internals Microsoft Press
_[3] 웹사이트 Window Stations http://msdn.microsof[...] Microsoft Corporation 2014-04-19
_[4] 웹사이트 Desktops http://msdn.microsof[...] Microsoft Corporation 2014-04-19
_[5] 서적 Windows internals, Part 1 Microsoft Press
_[6] 웹사이트 Winlogon Notification Events - Win32 apps https://learn.micros[...] 2023-05-14
_[7] 웹사이트 Boot or Logon Autostart Execution: Winlogon Helper DLL, Sub-technique T1547.004 - Enterprise {{!}} MITRE ATT&CK® https://attack.mitre[...] 2023-05-14
_[8] 웹사이트 Windows XP source code leaks online https://www.theverge[...] 2020-09-25
_[9] 문서 Windows NT系では最低1人の管理者がいなければならないため、自身を削除することはできない。
_[10] 문서 Windows VistaのみBusiness
_[11] 문서 Windows Vista以降も同様。
_[12] 문서 有効にしていない場合は「コンピュータのロック」
_[13] 문서 通常起動以外の方法で起動した場合は管理者権限を持つユーザーのみログオンできる。