يتجاوز الباحثون مصادقة Windows Hello ببصمة الإصبع
ما تحتاج إلى معرفته
- تمكن مجموعة من الباحثين من تجاوز مصادقة بصمة Windows Hello.
- وتوصل الباحثون إلى هذا الاكتشاف أثناء إجراء اختبارات على أجهزة الكمبيوتر المحمولة Dell وLenovo وMicrosoft.
- تم استخدام مستشعرات بصمات الأصابع Goodix وSynaptics وELAN كأساس للبحث.
- وفقًا للباحثين، فقد تمكنوا من تجاوز ميزة الأمان نظرًا لعدم تمكين حماية SDCP من Microsoft.
- بينما تعمل Microsoft على إيجاد طريقة للتغلب على هذه المشكلة، يوصي الباحثون بأنه يجب على المستخدمين تمكين حماية SDCP.
اكتشف مجموعة من الباحثين الأمنيين من شركة Blackwing Intelligence ثغرات أمنية متعددة تؤثر على أجهزة استشعار بصمات الأصابع الثلاثة الأولى، مما سمح لهم تجاوز مصادقة Windows Hello ببصمة الإصبع على أجهزة الكمبيوتر المحمولة Dell وLenovo وMicrosoft.
تم تكليف الباحثين من قبل فريق Microsoft للأبحاث الهجومية وهندسة الأمن باختبار أمان أجهزة استشعار بصمات الأصابع. وخلال عرض النتائج في مؤتمر BlueHat الذي عقدته مايكروسوفت في أكتوبر، كشف الفريق عن ذلك كانت بعض أجهزة استشعار بصمات الأصابع الشائعة في مركز أبحاثهم، بما في ذلك Goodix وSynaptics و، إيلان.
وفقًا للتقرير، شارك الباحثون وصفًا تفصيليًا يسلط الضوء على كيفية تمكنهم من بناء جهاز USB يتمتع بالقدرة على نشر هجوم رجل في الوسط (MitM). ويفصل التقرير أيضًا كيف تتيح هذه التقنية المتطورة للجهات الفاعلة السيئة الوصول إلى جهاز مسروق أو غير مراقب.
أثناء إجراء الاختبارات لتحديد مدى موثوقية Windows Hello كميزة أمان، ديل انسبايرون 15, لينوفو ثينك باد T14، و مايكروسوفت سيرفس برو اكس ولسوء الحظ وقع ضحية لهذه الحيلة المتطورة، بشرط تمكين التحقق من بصمة الإصبع على الجهاز.
اكتشف الباحثون في Blackwing Intelligence الثغرات الأمنية في TLS مخصص على مستشعر Synaptics أثناء إجراء هندسة عكسية للبرامج والأجهزة على هذه الأجهزة.
مستقبل بدون كلمة مرور، ولكنه مع ذلك مثير للقلق للغاية
هذا العام، رأينا أصبحت Microsoft أكثر "تعمدًا" في سعيها نحو مستقبل بدون كلمة مرور، خاصة مع أحدث خطواتها المصممة للسماح لمستخدمي Windows 11 بتسجيل الدخول إلى مواقع الويب التي تدعم استخدام مفاتيح المرور ويندوز مرحبا. بالإضافة إلى ذلك، فهو يسمح أيضًا للمستخدمين بإدارة مفاتيح المرور الخاصة بهم على أجهزة Windows المحفوظة، بما في ذلك حذف مفاتيح المرور من خلال تطبيق إعدادات Windows.
مع انضمام المزيد من الأشخاص الآن إلى القطار بدون كلمة مرور باستخدام Windows Hello، فإن ذلك يخلق مستوى عالٍ من عدم اليقين بين المستخدمين. وهذا في النهاية يجعل الأمر أكثر صعوبة في تحديد ما إذا كان ينبغي عليهم الانتقال بشكل كامل إلى النهج بدون كلمة مرور أو الالتزام بالدبابيس.
ليس من الواضح حتى الآن كيف تخطط Microsoft للتعامل مع هذه المشكلة، ولا نعرف أيضًا ما إذا كان المتسللون يستفيدون حاليًا من هذه التقنية على نطاق واسع.
قامت Microsoft بعمل جيد في تصميم بروتوكول اتصال الأجهزة الآمنة (SDCP) لتوفير قناة آمنة بين المضيف والأجهزة البيومترية، ولكن لسوء الحظ، يبدو أن الشركات المصنعة للأجهزة يسيئون فهم بعض منها أهداف. بالإضافة إلى ذلك، لا يغطي SDCP سوى نطاق ضيق جدًا من تشغيل الجهاز النموذجي، في حين أن معظم الأجهزة لديها سطح هجوم كبير مكشوف لا يغطيه SDCP على الإطلاق.
باحثو الاستخبارات بلاك وينج
كشف الباحثون أنهم تمكنوا من تجاوز مصادقة بصمة Windows Hello على بعض الأجهزة التي كانوا يجرون اختبارات عليها بسبب عدم تمكين حماية SDCP.
وكإجراء احترازي للسلامة، توصي مجموعة الباحثين المستخدمين بالتأكد من تمكين حماية SDCP في جميع الأوقات لمنع النشر السهل لمثل هذه الهجمات.
هل تستخدم Windows Hello على جهاز الكمبيوتر الخاص بك؟ شارك تجربتك معنا في التعليقات.