Ktoś właśnie złamał zabezpieczenia Windows Hello. Co to oznacza dla klientów?
Windows Hello, czyli platforma biometryczna Microsoftu, do tej pory była nie do złamania. Po raz pierwszy od premiery rynkowej tego rozwiązania hakerzy mają sposób na włamanie się do komputerów z najnowszą i w pełni załataną wersją Windowsa.
Windows Hello na razie było powodem do dumy Microsoftu. Hakerzy co prawda kilkukrotnie zdołali złamać zabezpieczenia tego mechanizmu, ale za każdym razem udawało im się to osiągnąć dopiero po dłuższym czasie od wydania aktualizacji naprawiającej lukę bezpieczeństwa. Innymi słowy, do tej pory przypadki złamania zabezpieczeń Windows Hello miały miejsce tylko do starych, załatanych już wersji Windowsa 10. To właśnie się zmienia.
Czy Windows Hello jest bezpieczne? Dziś okazuje się, że nie do końca.
Specjaliści ds. cyberbezpieczeństwa z firmy Cyberark zdołali oszukać wbudowany w Windows mechanizm. Ich metoda ataku podzielona jest na dwa etapy. Pierwszy wykorzystuje podatność polegająca na błędnym założeniu, że każda podłączona do komputera kamera z czujnikiem podczerwieni może być wykorzystana jako urządzenie klasy biometrycznej. Co oznacza, że do PC można podłączyć urządzenie wysyłające fałszywe dane. To za mało, by złamać Windows Hello, ale wystarczająco je osłabia, by móc przejść do drugiej fazy ataku.
Windows Hello wykorzystuje zaawansowane algorytmy, by móc oszacować wiarygodność otrzymywanego sygnału. Jest to tak zwany test żywotności (liveness test). To oznacza, że włamywacz musiałby przed podłączeniem fałszywej kamery Windows Hello dysponować nagraniem autoryzowanego użytkownika, nagranego zarówno w podczerwieni, jak i standardową kamerą, by następnie to nagranie wysłać do pamięci atakowanego komputera z hakerską kamerką.
Okazuje się jednak, że Windows Hello poddaje analizie wyłącznie nagranie zarejestrowane przez czujnik podczerwieni, całkowicie pomijając obraz z webcama. To nadal czyni atak dość trudnym i wymaga szpiegowania użytkownika również i poza cyberprzestrzenią, by móc zebrać odpowiednie dane. Dodatkowo wymaga fizycznego dostępu do atakowanego sprzętu.
Nie zapominajmy jednak, że Windows Hello to platforma biometryczna Microsoftu w systemie Windows, gwarantująca – a raczej, mająca gwarantować – najwyższy poziom bezpieczeństwa. W tym VIP-om mających dostęp za pośrednictwem swoich komputerów do danych wysoce wrażliwych.
Microsoft współpracuje z Cyberark nad rozwiązaniem problemu z Windows Hello.
Niestety na dziś nie ma definitywnego rozwiązania. Firma na razie oferuje dwa wyjścia administratorom IT nadzorującym komputery pracowników mających dostęp do bardzo wrażliwych danych. Pierwszym jest wyłączenie uwierzytelniania twarzy w komputerach z Windows Hello (nic nie wskazuje, by inne metody uwierzytelniania, jak na przykład odcisk palca, były zagrożone) lub wyłączenie całego modułu na rzecz innych metod uwierzytelniania użytkownika.
Drugą z propozycji jest wdrożenie polityki Windows Hello Enhanced Sign-in Security, która wprowadza dodatkowe warstwy zabezpieczeń, w tym uniemożliwiające hakerom wykorzystanie zewnętrznych podrobionych kamer. Problem w tym, że ta ma konkretne wymagania sprzętowe, które mogą nie być spełnione przez wiele wykorzystywanych na rynku komputerów.
Dla większości czytelników Spider’s Web ta podatność jest prawdopodobnie o bardzo niskim znaczeniu. Tego rodzaju włamania wymagają dokładnego przygotowania i inwestycji finansowych. Warto jednak zdawać sobie sprawę z jej istnienia. Oby problem okazał się możliwy do szybkiego załatania przez aktualizację Windowsa.
Ilustracja otwierająca autorstwa ymgerman
