Forskere omgår Windows Hello-fingeravtrykkautentisering

Hva du trenger å vite

• En gruppe forskere har klart å omgå Windows Hellos fingeravtrykkautentisering.
• Forskerne gjorde oppdagelsen mens de kjørte tester på bærbare datamaskiner fra Dell, Lenovo og Microsoft.
• Goodix, Synaptics og ELAN fingeravtrykksensorer ble brukt som grunnlag for forskningen.
• Ifølge forskerne var de i stand til å omgå sikkerhetsfunksjonen fordi Microsofts SDCP-beskyttelse ikke var aktivert.
• Mens Microsoft jobber med en vei rundt dette, anbefaler forskerne at brukere bør aktivere SDCP-beskyttelse.

---

En gruppe sikkerhetsforskere fra Blackwing Intelligence har avdekket flere sårbarheter som påvirker de tre øverste fingeravtrykksensorene, noe som tillot dem å omgå Windows Hello-fingeravtrykkautentisering på bærbare datamaskiner fra Dell, Lenovo og Microsoft.

Forskerne fikk i oppgave av Microsofts Offensive Research and Security Engineering-team å teste sikkerheten til fingeravtrykksensorer. Under presentasjonen av resultatene på Microsofts BlueHat-konferanse i oktober, avslørte teamet det noen av de populære fingeravtrykksensorene var i sentrum av forskningen deres, inkludert Goodix, Synaptics og, ELAN.

I henhold til rapporten delte forskerne en detaljert beskrivelse som fremhever hvordan de var i stand til å bygge en USB-enhet med muligheten til å distribuere et mann-i-midten-angrep (MitM). Rapporten beskrev ytterligere hvordan den sofistikerte teknikken gir dårlige skuespillere tilgang til en stjålet eller ubetjent enhet.

Mens du kjører tester for å fastslå Windows Hellos pålitelighet som en sikkerhetsfunksjon, Dells Inspiron 15, Lenovos ThinkPad T14, og Microsofts Surface Pro X ble dessverre offer for det sofistikerte trikset, forutsatt at fingeravtrykkautentisering var aktivert på enheten.

Forskerne ved Blackwing Intelligence oppdaget sikkerhetssårbarhetene i en tilpasset TLS på Synaptics-sensoren mens de omvendt utviklet programvaren og maskinvaren på disse enhetene.

En passordløs fremtid, men svært alarmerende likevel

I år har vi sett Microsoft har blitt mer "tilsiktet" i sitt arbeid mot en passordløs fremtid, spesielt med det siste trekket designet for å tillate Windows 11-brukere å logge på nettsteder som støtter passord ved bruk Windows Hei. I tillegg lar det også brukere administrere passordene sine på lagrede Windows-enheter, inkludert sletting av passord via Windows Settings-appen.

Ettersom flere mennesker nå hopper på det passordløse toget med Windows Hello, skaper det et høyt nivå av usikkerhet blant brukerne. Dette gjør det til slutt enda vanskeligere å bestemme om de skal gå over til den passordløse tilnærmingen eller holde seg til pins.

Det er ennå ikke klart hvordan Microsoft planlegger å gå om dette problemet, vi vet heller ikke om hackere for tiden utnytter denne teknikken i naturen.

Microsoft gjorde en god jobb med å utforme Secure Device Connection Protocol (SDCP) for å gi en sikker kanal mellom verten og biometriske enheter, men dessverre ser det ut til at enhetsprodusenter misforstår noen av de mål. I tillegg dekker SDCP bare et veldig smalt omfang av en typisk enhets operasjon, mens de fleste enheter har en betydelig angrepsoverflate som ikke er dekket av SDCP i det hele tatt.

Forskerne avslørte at de var i stand til å omgå Windows Hellos fingeravtrykkautentisering på noen av enhetene de kjørte tester på fordi SDCP-beskyttelse ikke var aktivert.

Som en sikkerhetsforanstaltning anbefaler forskergruppen at brukere bør sørge for at SDCP-beskyttelse til enhver tid er aktivert for å forhindre enkel distribusjon av slike angrep.

Bruker du Windows Hello på din PC? Del opplevelsen din med oss ​​i kommentarene.