ثغرة أمنية تسمح بالوصول إلى الكمبيوتر الشخصي دون الحاجة إلى بصمة الإصبع

[إعلان 1]

وفقًا لموقع Neowin ، كشف فريق Blackwell Intelligence عن نتائجه في أكتوبر الماضي خلال مؤتمر Microsoft BlueHat للأمن، لكنه لم ينشر النتائج على موقعه الإلكتروني إلا هذا الأسبوع. يذكر منشور المدونة، بعنوان "لمسة من Pwn"، أن الفريق استخدم مستشعرات بصمات الأصابع داخل أجهزة الكمبيوتر المحمولة Dell Inspiron 15 وLenovo ThinkPad T14، بالإضافة إلى غطاء Microsoft Surface Pro Type Cover المزود بخاصية التعرف على بصمات الأصابع، والمُصمم خصيصًا لأجهزة Surface Pro 8 وX. صُنعت هذه المستشعرات تحديدًا بواسطة Goodix وSynaptics وELAN.

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — استغرق بلاكويل حوالي ثلاثة أشهر من البحث لاكتشاف ثغرة أمنية في Windows Hello.

استخدمت جميع مستشعرات بصمات الأصابع التي تدعم Windows Hello والتي قمنا باختبارها أجهزة تعتمد على الشريحة، مما يعني أن المصادقة تمت على المستشعر نفسه، والذي يحتوي على شريحة وتخزين خاصين به.

في بيانه، ذكر بلاكويل أن قاعدة بيانات "نماذج بصمات الأصابع" (البيانات البيومترية التي يلتقطها مستشعر بصمة الإصبع) تُخزَّن على الشريحة ، ويتم التسجيل والمطابقة مباشرةً على الشريحة. وبما أن نماذج بصمات الأصابع لا تُغادر الشريحة أبدًا، فإن هذا يُزيل مخاوف الخصوصية، إذ تُخزَّن البيانات البيومترية بأمان. كما يمنع هذا الهجمات التي تتضمن إرسال صور بصمات أصابع صالحة إلى خادم لمطابقتها.

مع ذلك، تجاوز بلاكويل النظام باستخدام الهندسة العكسية لاكتشاف ثغرة في مستشعر بصمة الإصبع، ثم أنشأ جهاز USB منفصلًا لتنفيذ هجوم الوسيط (MitM). مكّن هذا الجهاز المجموعة من تجاوز أجهزة مصادقة بصمة الإصبع في تلك الأجهزة.

وفقًا لبلاكويل، على الرغم من أن مايكروسوفت تستخدم بروتوكول اتصال الجهاز الآمن (SDCP) لتوفير قناة آمنة بين الخادم وجهاز القياسات الحيوية، إلا أن اثنين من كل ثلاثة مستشعرات بصمات الأصابع التي تم اختبارها لم تُفعّل SDCP. ويوصي بلاكويل جميع شركات مستشعرات بصمات الأصابع بتفعيل SDCP على منتجاتها، بالإضافة إلى الاستعانة بشركة خارجية لضمان عمله.

تجدر الإشارة إلى أن بلاكويل أمضى حوالي ثلاثة أشهر في محاولة تجاوز هذه المنتجات من أجهزة استشعار بصمات الأصابع. ولا يزال من غير الواضح كيف ستعالج مايكروسوفت وشركات استشعار بصمات الأصابع الأخرى هذه المشكلة بناءً على هذا البحث.

[إعلان 2]
رابط المصدر