Windows-gebruikers waren enthousiast om apparaten te zien met biometrische authenticatie op basis van vingerafdrukken, vergelijkbaar met de Touch ID van Apple op laptops en computers. Het probleem is echter dat dingen niet zo soepel verlopen op Windows, aangezien er kwetsbaarheden zijn ontdekt in Windows Hello bij vingerafdrukauthenticatie op high-end laptops.
Beveiligingsonderzoekers onthulden dat het vingerafdrukauthenticatiesysteem Windows Hello, aanwezig op drie van de populairste laptops Windows, biedt niet het verwachte beveiligingsniveau. Op verzoek van Microsoft voerde cyberbeveiligingsbedrijf Blackwing Intelligence penetratietests uit, waarbij werd vastgesteld dat alle drie de laptops deze tests niet doorstonden.
Ondanks dat de Microsoft Surface aan tests werd onderworpen, bleek deze de meest kwetsbare van de drie modehebben ze getest, waardoor de biometrische authenticatie met vingerafdrukken eenvoudig kan worden omzeild Windows Hello.
Het onderzoeksteam van Microsoft (MORSE) vroeg expliciet om een beveiligingsbeoordeling voor de best presterende vingerafdruksensoren die in laptops zijn ingebed, maar de resultaten lieten zien dat meerdere kwetsbaarheden met succes door het team werden uitgebuit. Elke laptop, inclusief de Dell Inspiron 15 en Lenovo ThinkPad T14, vereiste een verschillende aanpak om bestaande beveiligingsprotocollen te omzeilen.
Deze kwetsbaarheden Windows Hello inzake vingerafdrukauthenticatie benadrukt het voortdurende belang van het verbeteren van authenticatiesystemen om een hoger veiligheidsniveau te garanderen.
Inhoud
Kwetsbaarheden van Windows Hello bij vingerafdrukauthenticatie op de Dell Inspiron 15
Dell Inspiron 15 vertoont aanzienlijke kwetsbaarheden Windows Hello voor vingerafdrukverificatie. Wanneer het apparaat wordt ingeschakeld Windows, het volgt volledige beveiligingsprotocollen, inclusief Secure Device Connection Protocol (SDCP). Deze protocollen voeren essentiële controles uit, zoals ervoor zorgen dat de host communiceert met een vertrouwd apparaat en dat vingerafdrukgegevens niet worden opgeslagen of doorgegeven. Wel het team dat kwetsbaarheden testte Windows Hello merkte dat terwijl toegang tot de vingerafdruklezer in Windows maakt gebruik van SDCP, toegang tot Linux niet. En ze kregen een idee.
Door het doelapparaat te initiëren Linux en zijgebruik Linux om de vingerafdruk van de aanvaller in de database in te voeren door dezelfde ID op te geven als een legitieme gebruiker die is aangemeld via Windowsidentificeerde het team een kwetsbaarheid. Ook al was deze poging aanvankelijk niet succesvol, omdat er aparte databases op de chip voor werden ontdekt Windows şi Linux, het was mogelijk om te bepalen hoe Windows wist tot welke database hij toegang moest krijgen en kon deze naar de database verwijzen Linux.
Dit opende de weg voor de volgende oplossing, namelijk een aanval Man in the Middle (MitM). Hier zijn de stappen van dit beveiligingslek Windows Hello bij vingerafdrukverificatie ingeschakeld Dell Inspiron 15.
1. Het systeem is ingeschakeld Linux.
2. Geldige identiteitsbewijzen worden vermeld. Er wordt dus bepaald welke autorisatie kan worden verleend.
3. Registratie van de vingerafdruk van de aanvaller met dezelfde ID als een legitieme gebruiker wordt uitgevoerd Windows.
4. Typ aanval Man in the Middle (MitM) over de verbinding tussen de host en de sensor.
5. Start het systeem Windows.
6. Het configuratiepakket onderscheppen en herschrijven zodat het naar de database verwijst Linux met behulp van de MitM-aanval.
7. Authenticatie gebeurt als legitieme gebruiker met de vingerafdruk van de aanvaller.
Een relatief eenvoudige methode voor het type gebruiker dat een gemiddelde kennis heeft van de architectuur van besturingssystemen Linux en systemen Windows.
Bij de Microsoft Surface Pro 8/X is de kwetsbaarheid nog makkelijker te misbruiken.
Vingerafdruk-ID-kwetsbaarheid op de Microsoft Surface Pro Type Cover
Met betrekking tot de kwetsbaarheid die werd geïdentificeerd op de Microsoft Surface Pro Type Cover met Fingerprint ID verwachtte het onderzoeksteam dat een officieel Microsoft-product de hoogste moeilijkheidsgraad zou opleveren, maar ze waren verbijsterd toen ze een ongelooflijk zwakke beveiliging ontdekten. In dit geval was het ontbreken van Secure Device Connection Protocol (SDCP) duidelijk, samen met duidelijke tekst (niet-gecodeerde) USB-communicatie en het ontbreken van authenticatie.
Door dit gebrek aan beveiliging ontdekte het team dat ze eenvoudigweg de vingerafdruksensor konden loskoppelen en hun eigen apparaat konden aansluiten om deze na te bootsen. De procedure bestond uit het loskoppelen van de Type Cover (de bestuurder kan niet overweg met twee aangesloten sensoren en wordt instabiel), het aansluiten van het aanvalsapparaat, het bevorderen van de VID/PID van de sensor, het observeren van de geldige SID van de bestuurder Windows, het passeren van de cheque "how many fingerprints' en het starten van vingerafdrukauthenticatie op het systeem Windows, gevolgd door het verzenden van een geldig inlogantwoord vanaf het vervalste apparaat.
Kortom, deze kwetsbaarheden Windows Hello inzake vingerafdrukauthenticatie heeft gewezen op de aanzienlijke kwetsbaarheden die kunnen bestaan bij de implementatie van biometrische authenticatiesystemen.
Zie ook: Hoe authenticatie uit te schakelen met Windows Hello PIN, Gezicht en Vingerafdruk in Windows 10
Wat het is Windows Hello?
Voor het eerst geïntroduceerd met de release van het besturingssysteem Windows 10 en het blijven bieden van verbeterde functionaliteit op desktop- en laptopcomputers Windows 11, Windows Hello is een snellere en veiligere manier om direct toegang te krijgen tot apparaten Windows.
Dit geavanceerde authenticatiesysteem geeft u de mogelijkheid om toegang te krijgen tot uw apparaten Windows 11 met behulp van een pincode, gezichtsherkenning of vingerafdruk. Om van deze opties te profiteren, moet u een pincode instellen tijdens het initialiseren van uw vingerafdruk of gezichtsherkenning, maar u kunt zich ook verifiëren met alleen uw pincode.
Deze opties maken het aanmelden bij uw pc niet alleen aanzienlijk eenvoudiger, maar maken het ook veiliger, omdat uw pincode aan slechts één apparaat is gekoppeld en er via uw Microsoft-account een back-up van wordt gemaakt voor herstel.
