Eksperci cyberbezpieczeństwa z Blackwing Intelligence zidentyfikowali poważne luki w systemie uwierzytelniania odcisków palców Windows Hello. Przy wsparciu Microsoft Offensive Research and Security Engineering (MORSE) udało się zidentyfikować w laptopach Dell Inspiron, Lenovo ThinkPad, i Microsoft Surface Pro X luki, które mogą pomóc cyberprzestępcom w udanym ich zaatakowaniu.
Badacze - Jesse D'Aguanno i Timo Teräs - skupili się na trzech rodzajach czujników linii papilarnych: ELAN, Synaptics, i Goodix wbudowanych w wyżej wymienione modele laptopów. Wspomniane czujniki typu Match-on-Chip (MoC) posiadają własny mikroprocesor i pamięć masową, co teoretycznie zwiększa bezpieczeństwo, jednak badacze odkryli, że ze względu na specyfikę ich działania są one podatne na ataki.
Polecamy na Geekweek: Będą pierwsze pozwy od uczestników „Squid Game: Wyzwanie”? Kłopoty Netflixa
Głównym problemem okazało się to, że mimo iż czujniki MoC uniemożliwiają przechowywanie danych odcisków palców w celu późniejszego ich odtworzenia, nie zapobiegają one możliwości symulacji prawidłowej komunikacji między czujnikiem a komputerem przez złośliwe oprogramowanie. Takie zachowanie czujników otwiera drzwi dla potencjalnych ataków, w tym tych typu man-in-the-middle (MiTM), w których atakujący mogą fałszywie naśladować proces uwierzytelniania.
Microsoft - w odpowiedzi na te zagrożenia - opracował protokół Secure Device Connection Protocol (SDCP) mający na celu weryfikację, czy urządzenie do pobierania odcisków palców jest zaufane i opatrzone odpowiednimi zabezpieczeniami. Jednakże, badacze z Blackwing Intelligence wykazali, że nawet ten protokół nie jest niezawodny. Wykorzystując odpowiednie spreparowane urządzenie Raspberry Pi 4 z Linuksem, udało im się obejść system uwierzytelniania Windows Hello na wszystkich trzech laptopach.
W laptopach Dell i Lenovo użycie niestandardowego stosu TLS przez czujnik Synaptics, a nie SDCP do zabezpieczenia komunikacji USB umożliwiło badaczom obejście uwierzytelniania poprzez wyliczenie identyfikatorów i zarejestrowanie odcisku palca atakującego jako ten, który należy do prawowitego właściciela komputera. Podobnie, w przypadku Surface Pro X, gdzie czujnik ELAN nie korzystał z ochrony SDCP i używał niezabezpieczonej komunikacji USB, badacze zdołali oszukać czujnik odcisków palców i ominąć jego zabezpieczenia.
Na koniec, badacze podkreślili, że mimo iż Microsoft podjął znaczące kroki w celu zabezpieczenia kanałów komunikacji między urządzeniami biometrycznymi a komputerem, producenci urządzeń nie zawsze właściwie implementują te rozwiązania. Wskazali na fakt, że SDCP nie był nawet aktywowany na dwóch z trzech testowanych laptopów, co wyraźnie wykazuje - dość ironicznie - lukę między teorią a praktyką w dziedzinie realnego stosowania bezpieczeństwa biometrycznego.
Wszystko to rzuca światło na rosnące znaczenie bezpieczeństwa biometrycznego w erze cyfrowej, gdzie coraz więcej użytkowników polega na tych technologiach do ochrony swoich danych. Z 84,7% użytkowników Windows 10 logujących się za pomocą Windows Hello w 2023 roku, w porównaniu do 69,4% w roku 2019 staje się absolutnie jasne to, że potrzeba znacznie więcej niż tylko zaawansowanych technologii do zapewnienia bezpieczeństwa użytkowników - potrzebna jest również dobra wola ze strony producentów sprzętu. Ci - swoimi zaniedbaniami - mogą wystawić swoich klientów na spore niebezpieczeństwa. A przecież nie o to w tym wszystkim chodzi.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
