Οι χρήστες των Windows ήταν ενθουσιασμένοι να δουν συσκευές με σύστημα βιομετρικής αυθεντικοποίησης βασισμένο σε αναγνώριση αποτυπωμάτων, παρόμοιο με το Touch ID που υπάρχει στα φορητά υπολογιστές και τους υπολογιστές της Apple. Το πρόβλημα είναι ότι τα πράγματα δεν πηγαίνουν τόσο καλά στα Windows, καθώς ανακαλύφθηκαν ευπάθειες του Windows Hello στην αυθεντικοποίηση με δακτυλικό αποτύπωμα σε φορητούς υπολογιστές υψηλής κατηγορίας.
Οι ερευνητές ασφαλείας αποκάλυψαν ότι το σύστημα ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων Windows Hello, υπάρχει σε τρεις από τους πιο δημοφιλείς φορητούς υπολογιστές Windows, δεν παρέχει το αναμενόμενο επίπεδο ασφάλειας. Μετά από αίτημα της Microsoft, η εταιρεία κυβερνοασφάλειας Blackwing Intelligence πραγματοποίησε δοκιμές διείσδυσης, διαπιστώνοντας ότι και οι τρεις φορητοί υπολογιστές απέτυχαν σε αυτές τις δοκιμές.
Παρά το γεγονός ότι το Microsoft Surface υποβλήθηκε σε δοκιμές, αποδείχθηκε ότι ήταν το πιο ευάλωτο από τα τρία modeτα δοκίμασε, επιτρέποντας την εύκολη παράκαμψη του βιομετρικού ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων Windows Hello.
Η ερευνητική ομάδα της Microsoft (MORSE) ζήτησε ρητά την αξιολόγηση ασφαλείας για τους κορυφαίας απόδοσης αισθητήρες δακτυλικών αποτυπωμάτων που είναι ενσωματωμένοι σε φορητούς υπολογιστές, αλλά τα αποτελέσματα έδειξαν ότι πολλά τρωτά σημεία αξιοποιήθηκαν με επιτυχία από την ομάδα. Κάθε φορητός υπολογιστής, συμπεριλαμβανομένων των Dell Inspiron 15 και Lenovo ThinkPad T14, απαιτούσε ξεχωριστές προσεγγίσεις για την παράκαμψη των υφιστάμενων πρωτοκόλλων ασφαλείας.
Αυτά τα τρωτά σημεία Windows Hello σχετικά με τον έλεγχο ταυτότητας με δακτυλικά αποτυπώματα τονίζει τη συνεχή σημασία της βελτίωσης των συστημάτων ελέγχου ταυτότητας για τη διασφάλιση αυξημένου επιπέδου ασφάλειας.
Καμπίνα
Ευπάθειες του Windows Hello στην αυθεντικοποίηση με δακτυλικό αποτύπωμα στο Dell Inspiron 15
Dell Inspiron 15 παρουσιάζει σημαντικά τρωτά σημεία Windows Hello για έλεγχο ταυτότητας με δακτυλικά αποτυπώματα. Όταν η συσκευή είναι ενεργοποιημένη Windows, ακολουθεί πλήρη πρωτόκολλα ασφαλείας, συμπεριλαμβανομένων Secure Device Connection Protocol (SDCP). Αυτά τα πρωτόκολλα εκτελούν βασικούς ελέγχους, όπως τη διασφάλιση ότι ο κεντρικός υπολογιστής επικοινωνεί με μια αξιόπιστη συσκευή και ότι τα δεδομένα δακτυλικών αποτυπωμάτων δεν αποθηκεύονται ή αναμεταδίδονται. Ωστόσο, η ομάδα που δοκίμασε τα τρωτά σημεία Windows Hello παρατήρησε ότι κατά την πρόσβαση στη συσκευή ανάγνωσης δακτυλικών αποτυπωμάτων Windows χρησιμοποιεί SDCP, πρόσβαση σε Linux δεν. Και πήραν μια ιδέα.
Με την εκκίνηση της συσκευής προορισμού Linux και πλευρική χρήση Linux για να εισαγάγετε το δακτυλικό αποτύπωμα του εισβολέα στη βάση δεδομένων, προσδιορίζοντας το ίδιο αναγνωριστικό με έναν νόμιμο χρήστη που έχει συνδεθεί μέσω Windows, η ομάδα εντόπισε μια ευπάθεια. Παρόλο που αυτή η προσπάθεια ήταν αρχικά ανεπιτυχής, καθώς ανακαλύφθηκαν ξεχωριστές βάσεις δεδομένων εντός τσιπ Windows και Linux, ήταν δυνατό να καθοριστεί πώς Windows ήξερε σε ποια βάση δεδομένων έπρεπε να έχει πρόσβαση και ήταν σε θέση να την κατευθύνει στη βάση δεδομένων Linux.
Αυτό άνοιξε το δρόμο για την επόμενη λύση, που περιλαμβάνει επίθεση Man in the Middle (MitM). Εδώ είναι τα βήματα αυτής της ευπάθειας Windows Hello κατά τον έλεγχο ταυτότητας με δακτυλικά αποτυπώματα ενεργοποιημένο Dell Inspiron 15.
1. Το σύστημα είναι ενεργοποιημένο Linux.
2. Αναγράφονται τα έγκυρα αναγνωριστικά. Καθορίζονται λοιπόν αυτοί που μπορούν να εξουσιοδοτηθούν.
3. Πραγματοποιείται εγγραφή του δακτυλικού αποτυπώματος του εισβολέα χρησιμοποιώντας το ίδιο αναγνωριστικό ως νόμιμο χρήστη Windows.
4. Τύπος επίθεση Man in the Middle (MitM) στη σύνδεση μεταξύ του κεντρικού υπολογιστή και του αισθητήρα.
5. Ξεκινήστε το σύστημα μέσα Windows.
6. Παρακολούθηση και επανεγγραφή του πακέτου διαμόρφωσης ώστε να οδηγεί στη βάση δεδομένων Linux χρησιμοποιώντας την επίθεση MitM.
7. Ο έλεγχος ταυτότητας γίνεται ως νόμιμος χρήστης με το δακτυλικό αποτύπωμα του εισβολέα.
Μια σχετικά απλή μέθοδος για τον τύπο χρήστη που έχει μέση γνώση της αρχιτεκτονικής των λειτουργικών συστημάτων Linux και συστήματα Windows.
Όσο για το Microsoft Surface Pro 8 / X, η ευπάθεια είναι ακόμη πιο εύκολη στην εκμετάλλευση.
Ευπάθεια του Fingerprint ID στο Microsoft Surface Pro Type Cover
Όσον αφορά την ευπάθεια που εντοπίστηκε στο Microsoft Surface Pro Type Cover with Fingerprint ID, η ερευνητική ομάδα περίμενε ότι ένα επίσημο προϊόν της Microsoft θα παρουσίαζε τον υψηλότερο βαθμό δυσκολίας, αλλά έμειναν έκπληκτοι όταν βρήκαν απίστευτα αδύναμη ασφάλεια. Σε αυτήν την περίπτωση, ήταν εμφανής η έλλειψη Πρωτοκόλλου Ασφαλούς Σύνδεσης Συσκευών (SDCP), μαζί με την επικοινωνία USB με καθαρό κείμενο (μη κρυπτογραφημένη) και την απουσία ελέγχου ταυτότητας.
Με αυτήν την έλλειψη ασφάλειας, η ομάδα διαπίστωσε ότι θα μπορούσαν απλώς να αποσυνδέσουν τον αισθητήρα δακτυλικών αποτυπωμάτων και να συνδέσουν τη δική τους συσκευή για να τον μιμηθούν. Η διαδικασία συνίστατο στην αποσύνδεση του καλύμματος τύπου (ο οδηγός δεν μπορεί να χειριστεί δύο συνδεδεμένους αισθητήρες, γίνεται ασταθής), σύνδεση της συσκευής επίθεσης, προώθηση του VID/PID του αισθητήρα, παρατήρηση του έγκυρου SID από τον οδηγό Windows, περνώντας τον έλεγχο "how many fingerprints” και εκκίνηση του ελέγχου ταυτότητας με δακτυλικό αποτύπωμα στο σύστημα Windows, ακολουθούμενη από αποστολή έγκυρης απάντησης σύνδεσης από την πλαστογραφημένη συσκευή.
Συμπερασματικά, αυτά τα τρωτά σημεία Windows Hello σχετικά με τον έλεγχο ταυτότητας με δακτυλικά αποτυπώματα επισήμανε τις σημαντικές ευπάθειες που μπορεί να υπάρχουν στην εφαρμογή βιομετρικών συστημάτων ελέγχου ταυτότητας.
Τι είναι Windows Hello?
Παρουσιάστηκε για πρώτη φορά με την κυκλοφορία του λειτουργικού συστήματος Windows 10 και συνεχίζει να παρέχει βελτιωμένη λειτουργικότητα σε επιτραπέζιους και φορητούς υπολογιστές Windows 11, Windows Hello είναι ένας ταχύτερος και πιο ασφαλής τρόπος για να αποκτήσετε άμεση πρόσβαση σε συσκευές Windows.
Αυτό το προηγμένο σύστημα ελέγχου ταυτότητας σάς δίνει τη δυνατότητα πρόσβασης στις συσκευές σας Windows 11 χρησιμοποιώντας κωδικό PIN, αναγνώριση προσώπου ή δακτυλικό αποτύπωμα. Για να επωφεληθείτε από αυτές τις επιλογές, πρέπει να ρυθμίσετε έναν κωδικό PIN κατά την προετοιμασία του δακτυλικού αποτυπώματος ή της αναγνώρισης προσώπου, αλλά μπορείτε επίσης να κάνετε έλεγχο ταυτότητας μόνο με το PIN σας.
Αυτές οι επιλογές όχι μόνο διευκολύνουν σημαντικά τη σύνδεση στον υπολογιστή σας, αλλά και την καθιστούν πιο ασφαλή, καθώς το PIN σας σχετίζεται με μία μόνο συσκευή και δημιουργείται αντίγραφο ασφαλείας για ανάκτηση μέσω του λογαριασμού σας Microsoft.
