A kutatók megkerülik a Windows Hello ujjlenyomat-hitelesítést
Amit tudnod kell
- Kutatók egy csoportjának sikerült megkerülnie a Windows Hello ujjlenyomat-hitelesítését.
- A kutatók a felfedezést Dell, Lenovo és Microsoft laptopokon végzett tesztek során tették.
- Goodix, Synaptics és ELAN ujjlenyomat-érzékelőket használtak a kutatás alapjául.
- A kutatók szerint azért tudták megkerülni a biztonsági funkciót, mert a Microsoft SDCP-védelme nem volt engedélyezve.
- Míg a Microsoft ezen a megoldáson dolgozik, a kutatók azt javasolják, hogy a felhasználók engedélyezzék az SDCP-védelmet.
A Blackwing Intelligence biztonsági kutatóinak egy csoportja több sebezhetőséget tárt fel, amelyek a legjobb három ujjlenyomat-érzékelőt érintik, így megkerüli a Windows Hello ujjlenyomat-hitelesítést Dell, Lenovo és Microsoft laptopokon.
A kutatókat a Microsoft Offensive Research and Security Engineering csapata bízta meg azzal, hogy teszteljék az ujjlenyomat-érzékelők biztonságát. A Microsoft októberi BlueHat konferenciáján az eredmények bemutatása során a csapat nyilvánosságra hozta ezt néhány népszerű ujjlenyomat-érzékelő állt kutatásaik középpontjában, köztük a Goodix, a Synaptics és LENDÜLET.
A jelentés szerint a kutatók megosztottak egy részletes leírást, amelyben rávilágítottak arra, hogyan tudtak olyan USB-eszközt építeni, amely képes a középső (Man-in-the-middle, MitM) támadásra. A jelentés tovább részletezte, hogy a kifinomult technika hogyan biztosít rossz szereplőknek hozzáférést egy ellopott vagy felügyelet nélküli eszközhöz.
Miközben teszteket futtat a Windows Hello mint biztonsági funkció megbízhatóságának meghatározására, Dell Inspiron 15, Lenovo ThinkPad T14, és A Microsoft Surface Pro X sajnos áldozatul esett a kifinomult trükknek, feltéve, hogy az ujjlenyomat hitelesítést engedélyezték a készüléken.
A Blackwing Intelligence kutatói felfedezték a biztonsági réseket a Synaptics érzékelő egyedi TLS-jében, miközben megfordították az eszközök szoftverét és hardverét.
Jelszó nélküli jövő, de nagyon riasztó
Idén már láttuk A Microsoft „szándékosabb” a jelszó nélküli jövő felé való törekvésében, különösen a legutóbbi lépéssel, amely lehetővé teszi a Windows 11 felhasználók számára, hogy bejelentkezzenek olyan webhelyekre, amelyek támogatják a jelszó használatát Windows Hello. Ezenkívül lehetővé teszi a felhasználók számára a jelszók kezelését a mentett Windows-eszközökön, beleértve a jelszó törlését a Windows Beállítások alkalmazáson keresztül.
Mivel többen ugrálnak fel a Windows Hello jelszó nélküli vonatra, ez nagyfokú bizonytalanságot teremt a felhasználók körében. Ez végső soron még nehezebbé teszi annak eldöntését, hogy teljesen át kell-e állniuk a jelszó nélküli megközelítésre, vagy ragaszkodjanak a PIN-kódokhoz.
Egyelőre nem világos, hogy a Microsoft hogyan tervezi ezt a problémát, azt sem tudjuk, hogy a hackerek kihasználják-e jelenleg ezt a technikát a vadonban.
A Microsoft jó munkát végzett a Secure Device Connection Protocol (SDCP) megtervezésével, hogy biztonságos csatornát biztosítson közöttük a gazdagépet és a biometrikus eszközöket, de sajnos úgy tűnik, hogy az eszközgyártók félreértik néhányat célokat. Ezenkívül az SDCP egy tipikus eszköz működésének csak nagyon szűk körét fedi le, míg a legtöbb eszköznek van egy jókora támadási felülete, amelyet egyáltalán nem fed le az SDCP.
Blackwing intelligenciakutatók
A kutatók felfedték, hogy meg tudták kerülni a Windows Hello ujjlenyomat-hitelesítését egyes olyan eszközökön, amelyeken teszteltek, mivel az SDCP-védelem nem volt engedélyezve.
Biztonsági óvintézkedésként a kutatók azt javasolják, hogy a felhasználók gondoskodjanak arról, hogy az SDCP-védelem mindig engedélyezve legyen, hogy megakadályozzák az ilyen támadások egyszerű telepítését.
Használ Windows Hello-t a számítógépén? Ossza meg tapasztalatait velünk a megjegyzésekben.