Uživatelé systému Windows byli nadšeni, když viděli zařízení s biometrickým ověřováním na základě otisku prstu, podobně jako u Touch ID na noteboocích a počítačích od společnosti Apple. Problém spočívá v tom, že věci na systému Windows nefungují tak hladce, neboť byly objeveny zranitelnosti systému Windows Hello při ověřování otiskem prstu na vysoce výkonných noteboocích.
Bezpečnostní výzkumníci odhalili, že systém ověřování otisků prstů Windows Hello, přítomný na třech nejoblíbenějších noteboocích Windows, neposkytuje očekávanou úroveň zabezpečení. Na žádost Microsoftu provedla kyberbezpečnostní společnost Blackwing Intelligence penetrační testy a zjistila, že všechny tři notebooky v těchto testech neuspěly.
Navzdory tomu, že Microsoft Surface byl podroben testům, ukázal se jako nejzranitelnější ze všech tří modetestovali je, což umožnilo snadné obcházení biometrické autentizace otisku prstu Windows Hello.
Výzkumný tým společnosti Microsoft (MORSE) výslovně požadoval posouzení zabezpečení pro nejvýkonnější snímače otisků prstů zabudované v přenosných počítačích, ale výsledky ukázaly několik zranitelností, které tým úspěšně zneužil. Každý notebook, včetně Dell Inspiron 15 a Lenovo ThinkPad T14, vyžadoval odlišný přístup k obcházení stávajících bezpečnostních protokolů.
Tyto zranitelnosti Windows Hello o autentizaci otisků prstů zdůrazňuje neustálý význam zlepšování autentizačních systémů pro zajištění zvýšené úrovně zabezpečení.
Obsah
Zranitelnosti systému Windows Hello při ověřování otiskem prstu na notebooku Dell Inspiron 15
Dell Inspiron 15 představuje významné zranitelnosti Windows Hello pro ověřování otisků prstů. Když je zařízení zapnuto v Windows, dodržuje úplné bezpečnostní protokoly, včetně Secure Device Connection Protocol (SDCP). Tyto protokoly provádějí základní kontroly, jako je zajištění toho, že hostitel komunikuje s důvěryhodným zařízením a že data o otiscích prstů nejsou ukládána ani přenášena. Nicméně tým, který testoval zranitelnosti Windows Hello si všimli, že při přístupu ke čtečce otisků prstů v Windows používá SDCP, přístup k Linux ne. A dostali nápad.
Spuštěním cílového zařízení v Linux a boční použití Linux k zadání otisku prstu útočníka do databáze zadáním stejného ID jako legitimní uživatel přihlášený přes Windows, tým identifikoval zranitelnost. I když byl tento pokus zpočátku neúspěšný, byly objeveny samostatné databáze na čipu Windows şi Linux, bylo možné určit jak Windows věděl, ke které databázi má přistupovat, a byl schopen ji nasměrovat do databáze Linux.
Tím se otevřela cesta pro další řešení, zahrnující útok Man in the Middle (MitM). Zde jsou kroky této chyby zabezpečení Windows Hello při zapnuté autentizaci otiskem prstu Dell Inspiron 15.
1. Systém je zapnutý Linux.
2. Jsou uvedena platná ID. Jsou tedy určeny ty, které lze autorizovat.
3. Provede se registrace otisku útočníka pomocí stejného ID jako legitimního uživatele Windows.
4. Typ útoku Man in the Middle (MitM) na spojení mezi hostitelem a senzorem.
5. Spusťte systém v Windows.
6. Zachycení a přepsání konfiguračního balíčku tak, aby ukazoval na databázi Linux pomocí útoku MitM.
7. Autentizace se provádí jako legitimní uživatel otiskem prstu útočníka.
Poměrně jednoduchá metoda pro typ uživatele, který má průměrné znalosti o architektuře operačních systémů Linux a systémy Windows.
Pokud jde o Microsoft Surface Pro 8 / X, je zranitelnost ještě snadněji zneužitelná.
Zranitelnost otisku prstu na krytu typu Microsoft Surface Pro
Pokud jde o zranitelnost zjištěnou na krytu Microsoft Surface Pro Type Cover s ID otisku prstu, výzkumný tým očekával, že oficiální produkt společnosti Microsoft bude představovat nejvyšší stupeň obtížnosti, ale byli ohromeni zjištěním neuvěřitelně slabého zabezpečení. V tomto případě byl evidentní nedostatek protokolu SDCP (Secure Device Connection Protocol) spolu s prostou textovou (nešifrovanou) USB komunikací a absencí autentizace.
S tímto nedostatkem zabezpečení tým zjistil, že může jednoduše odpojit snímač otisků prstů a připojit své vlastní zařízení, aby jej napodobilo. Postup sestával z odpojení Type Cover (ovladač nezvládá dva připojené senzory, stává se nestabilní), připojení útočného zařízení, propagace VID/PID senzoru, pozorování platného SID od driveru Windows, prošel kontrolou "how many fingerprints“ a inicializaci ověřování otiskem prstu v systému Windows, po kterém následuje odeslání platné odpovědi na přihlášení z podvrženého zařízení.
Na závěr tyto zranitelnosti Windows Hello o autentizaci otiskem prstu poukázal na významná zranitelnost, která mohou existovat při implementaci biometrických autentizačních systémů.
Související: Jak zakázat ověřování pomocí Windows Hello PIN, obličej a otisk prstu dovnitř Windows 10
Co je Windows Hello?
Poprvé představen s vydáním operačního systému Windows 10 a pokračování v poskytování rozšířených funkcí na stolních a přenosných počítačích Windows 11, Windows Hello je rychlejší a bezpečnější způsob, jak získat okamžitý přístup k zařízením Windows.
Tento pokročilý ověřovací systém vám dává možnost přístupu k vašim zařízením Windows 11 pomocí PIN kódu, rozpoznávání obličeje nebo otisku prstu. Chcete-li využít tyto možnosti, musíte během inicializace otisku prstu nebo rozpoznání obličeje nastavit PIN kód, ale můžete se také ověřit pouze pomocí svého PIN.
Tyto možnosti nejen výrazně usnadňují proces přihlašování k počítači, ale také jej zajišťují bezpečnější, protože váš PIN je spojen pouze s jedním zařízením a je zálohován pro obnovení prostřednictvím vašeho účtu Microsoft.
