Windows Hello: vulnerabilidade deixa autenticação por impressão digital insegura

O Windows Hello tem como principal intuito melhorar a segurança dos PCs com Windows, e para isso utiliza a autenticação através da impressão digital ou reconhecimento facial. O problema é que os pesquisadores de segurança conseguiram contornar o primeiro em computadores da Dell, Lenovo e até da própria Microsoft.

Falha permite contornar o Windows Hello através de impressão digital

Pesquisadores de segurança da Blackwing Intelligence descobriram algumas vulnerabilidades nos três principais sensores de impressão digital integrados em laptops e amplamente utilizados ​​por empresas para proteger PCs através da autenticação de impressão digital do Windows Hello.

O departamento MORSE (Pesquisa Ofensiva e Engenharia de Segurança) da Microsoft solicitou à Blackwing Intelligence que avaliasse a segurança dos sensores de impressão digital. Os pesquisadores apresentaram as suas descobertas na conferência BlueHat, da Microsoft. A equipa identificou sensores de impressão digital populares da Goodix, Synaptics e ELAN como alvos para a sua pesquisa.

O processo envolve ter um dispositivo USB que pode realizar um ataque man-in-the-middle (MitM). Tal ataque permite o acesso a um laptop roubado ou até mesmo um ataque de “evil maid” a um dispositivo não monitorizado.

Os pesquisadores de segurança da Blackwing Intelligence conseguiram entender como o Windows Hello funciona, tanto no nível de software como de hardware. Eles descobriram falhas na implementação criptográfica do TLS personalizado no sensor Synaptics. O complexo processo de contornar o Windows Hello também envolve a descodificação e reimplementação de protocolos proprietários.

Podemos esperar uma correção da Microsoft? Não é certo. Os pesquisadores ressaltam, no entanto, que a Microsoft fez um bom trabalho com o Secure Device Connection Protocol (SDCP) “para fornecer um canal seguro entre o host e os dispositivos biométricos, mas infelizmente as fabricantes de dispositivos parecem não entender alguns dos objetivos”.

Os pesquisadores descobriram que a proteção SDCP da Microsoft não estava ativa em dois dos três dispositivos visados ​​(Dell Inspiron 15, Lenovo ThinkPad T14 e Microsoft Surface Pro X). A Blackwing Intelligence recomenda, portanto, que as fabricantes garantam que a proteção SDCP esteja ativa e que a implementação do sensor de impressão digital seja verificada por um especialista qualificado.

Esta não é a primeira vez que o Windows Hello é ignorado. Já aconteceu em 2021, envolvendo uma imagem infravermelha de uma vítima para falsificar o seu recurso de reconhecimento facial.

FONTE