Истраживачи заобилазе Виндовс Хелло аутентификацију отиском прста

Оно што треба да знате

• Група истраживача је успела да заобиђе Виндовс Хелло аутентификацију отиском прста.
• Истраживачи су дошли до открића док су радили тестове на лаптоповима Делл, Леново и Мицрософт.
• Као основа за истраживање коришћени су сензори отиска прста Гоодик, Синаптицс и, ЕЛАН.
• Према истраживачима, успели су да заобиђу безбедносну функцију јер Мицрософтова СДЦП заштита није била омогућена.
• Док Мицрософт ради на томе да ово заобиђе, истраживачи препоручују корисницима да омогуће СДЦП заштиту.

---

Група безбедносних истраживача из Блацквинг Интеллигенце открила је вишеструке рањивости које утичу на прва три сензора отиска прста, што им је омогућило да заобићи Виндовс Хелло аутентификацију отиском прста на лаптоповима Делл, Леново и Мицрософт.

Истраживачи су добили задатак од стране Мицрософт-овог тима за офанзивно истраживање и безбедносни инжењеринг да тестирају безбедност сензора отиска прста. Током представљања резултата на Мицрософтовој БлуеХат конференцији у октобру, тим је то открио неки од популарних сензора отиска прста били су у центру њиховог истраживања, укључујући Гоодик, Синаптицс и, ЕЛАН.

Према извештају, истраживачи су поделили детаљан опис истичући како су успели да направе УСБ уређај са могућношћу примене напада човека у средини (МитМ). Извештај даље описује како софистицирана техника омогућава лошим актерима приступ украденом уређају или уређају без надзора.

Док покрећете тестове да бисте утврдили поузданост Виндовс Хелло-а као безбедносне функције, Делл-ов Инспирон 15, Леново ТхинкПад Т14, и Мицрософтов Сурфаце Про Кс нажалост постао жртва софистицираног трика, под условом да је аутентификација отиском прста омогућена на уређају.

Истраживачи из Блацквинг Интеллигенце-а открили су безбедносне пропусте у прилагођеном ТЛС-у на Синаптицс сензору док су вршили обрнути инжењеринг софтвера и хардвера на овим уређајима.

Будућност без лозинке, али ипак веома алармантна

Ове године, видели смо Мајкрософт постаје „намернији“ у својој тежњи ка будућности без лозинке, посебно са својим најновијим потезом дизајнираним да омогући корисницима Виндовс 11 да се пријаве на веб локације које подржавају коришћење приступних кључева Виндовс Здраво. Поред тога, такође омогућава корисницима да управљају својим приступним кључевима на сачуваним Виндовс уређајима, укључујући брисање приступних кључева преко апликације Виндовс Сеттингс.

Са више људи који сада ускачу у воз без лозинке са Виндовс Хелло, то ствара висок ниво неизвесности међу корисницима. Ово на крају отежава одлучивање да ли треба у потпуности да пређу на приступ без лозинке или да се држе пинова.

Још увек није јасно како Мицрософт планира да реши овај проблем, такође не знамо да ли хакери тренутно користе ову технику у дивљини.

Мицрософт је урадио добар посао дизајнирајући протокол за безбедно повезивање уређаја (СДЦП) како би обезбедио безбедан канал између домаћин и биометријске уређаје, али, нажалост, чини се да произвођачи уређаја погрешно схватају неке од циљевима. Поред тога, СДЦП покрива само веома узак опсег рада типичног уређаја, док већина уређаја има велику изложену површину напада коју СДЦП уопште не покрива.

Истраживачи су открили да су могли да заобиђу Виндовс Хелло аутентификацију отиском прста на неким уређајима на којима су покретали тестове јер СДЦП заштита није била омогућена.

Као безбедносну меру предострожности, група истраживача препоручује да корисници треба да осигурају да је СДЦП заштита омогућена у сваком тренутку како би се спречило лако примену таквих напада.

Да ли користите Виндовс Хелло на свом рачунару? Поделите своје искуство са нама у коментарима.