Windows Recall opnieuw onder vuur voor slechte beveiliging
Recall is de veelbesproken AI-functie van Microsoft die letterlijk alles wat je op je computer doet, onthoudt. Om de haverklap maakt het programma een screenshot van je scherm. Microsofts AI analyseert deze beelden en slaat de belangrijkste informatie op in een beveiligde database. Handig als je die ene mail of website niet meer kunt vinden, maar levensgevaarlijk als je bedenkt wat er nog meer in die database belandt: van privéchats en bankgegevens tot je diepste geheimen.
De belofte van Microsoft
Je zou verwachten dat zulke gevoelige data achter slot en grendel staan. Toen de eerste preview van Recall in 2024 verscheen, bleek dat al niet het geval. Microsoft beloofde plechtig de beveiliging aan te scherpen voor de officiële release.
Toch schiet de huidige versie nog steeds ernstig tekort, waarschuwt cybersecurity-expert Alexander Hagenah. Hij is de ontwikkelaar van de beruchte TotalRecall-tool, waarmee hij eerder al aantoonde hoe makkelijk de functie te misbruiken is. Speciaal voor de nieuwe versie van Windows Recall, heeft hij TotalRecall Reloaded uitgebracht. Zijn conclusie? De nieuwe beveiliging blijft ‘kinderspel’ voor kwaadwillenden.
Hoe malware simpel meelift op jouw inlog
De ‘verbeterde’ beveiliging van Microsoft leunt op Windows Hello-authenticatie (zoals je gezichtsscan of pincode) en een zogenoemde ‘Secure Enclave’. Dit zou een afgeschermde omgeving moeten zijn waar malware niet bij kan.
De praktijk is echter minder rooskleurig. Volgens Hagenah is de beveiligingsgrens (de ’trust boundary’) zo lek als een mandje. Malware kan namelijk simpelweg op de achtergrond wachten tot jij jezelf identificeert via Windows Hello. Op dat moment lift de schadelijke software mee op jouw authenticatie. Eenmaal binnen kan de malware alles kopiëren wat Recall ooit heeft vastgelegd.
Microsoft reageert: ‘Er is niets aan de hand’
Hagenah deelde zijn schokkende bevindingen eerst met Microsoft voordat hij ze openbaar maakte, maar de softwaregigant wuift de kritiek weg. Volgens Microsoft werken de beveiligingsmaatregelen precies zoals bedoeld en is er geen sprake van een echt lek.
Hagenah is verbijsterd door die redenering. Hoewel hij erkent dat het Recall-team stappen heeft gezet, noemt hij de huidige situatie bizar. Zijn oordeel is snoeihard: “De kluisdeur is van titanium, maar de muur ernaast is van gipsplaat.”
De reactie van Microsoft suggereert dat er voorlopig geen extra beveiligingsupdates komen. Dat is zorgwekkend voor een functie die zo diep in je privacy snijdt. Recall bewaart immers niet alleen je gebruikersnamen, maar ook complete e-mails, privédocumenten en alles wat ooit op je scherm te zien was. Wie de controle over zijn eigen data wil houden, doet er goed aan om deze hulpvaardige AI-functie kritisch tegen het licht te houden.
