Σφάλμα ασφαλείας επιτρέπει την πρόσβαση σε υπολογιστή χωρίς δακτυλικό αποτύπωμα

[διαφήμιση_1]

Σύμφωνα με το Neowin , η ομάδα Blackwell Intelligence αποκάλυψε τα ευρήματά της τον Οκτώβριο κατά τη διάρκεια του συνεδρίου ασφαλείας BlueHat της Microsoft, αλλά δημοσίευσε τα αποτελέσματα στον ιστότοπό της μόλις αυτή την εβδομάδα. Η ανάρτηση ιστολογίου, με τίτλο "A Touch of Pwn", ανέφερε ότι η ομάδα χρησιμοποίησε αισθητήρες δακτυλικών αποτυπωμάτων στο εσωτερικό των φορητών υπολογιστών Dell Inspiron 15 και Lenovo ThinkPad T14, καθώς και καλύμματα τύπου Microsoft Surface Pro με αναγνωριστικό δακτυλικού αποτυπώματος που κατασκευάστηκαν για τα Surface Pro 8 και X. Οι συγκεκριμένοι αισθητήρες δακτυλικών αποτυπωμάτων κατασκευάστηκαν από τις Goodix, Synaptics και ELAN.

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — Χρειάστηκαν περίπου τρεις μήνες έρευνας στον Blackwell για να ανακαλύψει ένα κενό ασφαλείας στο Windows Hello.

Όλοι οι αισθητήρες δακτυλικών αποτυπωμάτων με δυνατότητα Windows Hello που έχουμε δοκιμάσει χρησιμοποιούν υλικό που βασίζεται σε τσιπ, πράγμα που σημαίνει ότι ο έλεγχος ταυτότητας γίνεται στον ίδιο τον αισθητήρα, ο οποίος διαθέτει το δικό του τσιπ και χώρο αποθήκευσης.

Στη δήλωσή του, ο Blackwell ανέφερε ότι η βάση δεδομένων με τα «πρότυπα δακτυλικών αποτυπωμάτων» (βιομετρικά δεδομένα που καταγράφονται από τον αισθητήρα δακτυλικών αποτυπωμάτων) αποθηκεύεται στο τσιπ και η καταγραφή και η αντιστοίχιση γίνονται απευθείας στο τσιπ. Δεδομένου ότι τα πρότυπα δακτυλικών αποτυπωμάτων δεν εγκαταλείπουν ποτέ το τσιπ, αυτό εξαλείφει τις ανησυχίες περί απορρήτου, καθώς τα βιομετρικά δεδομένα αποθηκεύονται με ασφάλεια. Αυτό αποτρέπει επίσης επιθέσεις που περιλαμβάνουν την αποστολή έγκυρων εικόνων δακτυλικών αποτυπωμάτων σε έναν διακομιστή για αντιστοίχιση.

Ωστόσο, ο Blackwell κατάφερε να παρακάμψει το σύστημα αφού χρησιμοποίησε αντίστροφη μηχανική για να βρει τρωτά σημεία σε αισθητήρες δακτυλικών αποτυπωμάτων και στη συνέχεια δημιούργησε τη δική του συσκευή USB που θα μπορούσε να εκτελέσει μια επίθεση man-in-the-middle (MitM). Αυτή η συσκευή επέτρεψε στην ομάδα να παρακάμψει το υλικό ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων σε αυτές τις συσκευές.

Σύμφωνα με την Blackwell, παρόλο που η Microsoft χρησιμοποιεί το Πρωτόκολλο Ασφαλούς Σύνδεσης Συσκευών (SDCP) για να παρέχει ένα ασφαλές κανάλι μεταξύ του διακομιστή και της βιομετρικής συσκευής, δύο από τους τρεις αισθητήρες δακτυλικών αποτυπωμάτων που δοκιμάστηκαν δεν είχαν καν ενεργοποιημένο το SDCP. Η Blackwell συνιστά σε όλες τις εταιρείες αισθητήρων δακτυλικών αποτυπωμάτων όχι μόνο να ενεργοποιούν το SDCP στα προϊόντα τους, αλλά και να αναθέτουν σε μια τρίτη εταιρεία να διασφαλίσει ότι λειτουργεί.

Ένα πράγμα που πρέπει να σημειωθεί είναι ότι η Blackwell αφιέρωσε περίπου τρεις μήνες προσπαθώντας να ξεπεράσει αυτά τα προϊόντα υλικού με αισθητήρα δακτυλικών αποτυπωμάτων. Δεν είναι σαφές πώς η Microsoft και άλλες εταιρείες αισθητήρων δακτυλικών αποτυπωμάτων πρόκειται να διορθώσουν το πρόβλημα με βάση αυτήν την έρευνα.

[διαφήμιση_2]
Σύνδεσμος πηγής