Дослідники знайшли спосіб обійти захист відбитком пальця Windows Hello від Microsoft
Дослідники знайшли спосіб обійти захист відбитком пальця Windows Hello від Microsoft

Дослідники знайшли спосіб обійти захист відбитком пальця Windows Hello від Microsoft

Аутентификацию по отпечатку пальца Windows Hello удалось обойти на ноутбуках Dell, Lenovo и даже Microsoft. Исследователи безопасности Blackwing Intelligence обнаружили многочисленные уязвимости в трех основных датчиках отпечатков пальцев, которые встраиваются в ноутбуки и широко используются компаниями для защиты информации.

Помогаем

Подразделение Microsoft по наступательным исследованиям и инженерии безопасности (MORSE) обратилось к Blackwing Intelligence с просьбой оценить безопасность датчиков отпечатков пальцев, и исследователи представили свои выводы в презентации на конференции Microsoft BlueHat, которая проходила в октябре. Объектами исследований были сенсоры отпечатков Goodix, Synaptics и ELAN. Для обхода создали USB-устройство, которое может совершить атаку MitM (man-in-the-middle, человек посередине). Такая атака может обеспечить доступ к украденному ноутбуку или даже к устройству, которое осталось без присмотра, передает The Verge.

Dell Inspiron 15, Lenovo ThinkPad T14 и Microsoft Surface Pro X стали жертвами атак на сканеры отпечатков пальцев, что позволило исследователям обойти защиту Windows Hello, если кто-то ранее на них использовал аутентификацию по отпечаткам пальцев. Исследователи Blackwing Intelligence провели реинжиниринг как программного, так и аппаратного обеспечения и выявили недостатки криптографической реализации в кастомном TLS (криптографический протокол) на датчике Synaptics. Сложный процесс обхода Windows Hello также включал декодирование и повторную реализацию проприетарных протоколов.

Это не первый случай, когда аутентификация Windows Hello на основе биометрических данных подводит. Microsoft была вынуждена исправить уязвимость обхода проверки подлинности Windows Hello в 2021 году после проверки концепции, предусматривавшей захват инфракрасного изображения жертвы, чтобы подделать функцию распознавания лица Windows Hello.

Полная запись конференции Microsoft BlueHat

Теги по теме
Microsoft
Источник материала
loader
loader