Menurut Neowin , tim Blackwell Intelligence mengungkapkan temuan mereka Oktober lalu di konferensi keamanan BlueHat Microsoft, tetapi baru memposting hasilnya di situs web mereka minggu ini. Artikel blog tersebut, berjudul "A Touch of Pwn," menyatakan bahwa tim tersebut menggunakan sensor sidik jari di dalam laptop Dell Inspiron 15 dan Lenovo ThinkPad T14, bersama dengan Microsoft Surface Pro Type Cover dengan ID sidik jari yang diproduksi untuk Surface Pro 8 dan X. Sensor sidik jari spesifik tersebut diproduksi oleh Goodix, Synaptics, dan ELAN.
Setelah sekitar tiga bulan melakukan penelitian, Blackwell menemukan kerentanan pada Windows Hello.
Semua sensor sidik jari yang mendukung Windows Hello yang kami uji menggunakan perangkat keras berbasis chip, yang berarti otentikasi ditangani pada sensor itu sendiri, yang memiliki chip dan penyimpanan sendiri.
Dalam pernyataannya, Blackwell mengatakan bahwa basis data "pola sidik jari" (data biometrik yang ditangkap oleh sensor sidik jari) disimpan di dalam chip , dengan pendaftaran dan pencocokan dilakukan langsung di dalam chip. Karena pola sidik jari tidak pernah meninggalkan chip, hal ini menghilangkan kekhawatiran tentang privasi karena data biometrik disimpan dengan aman. Ini juga mencegah serangan yang melibatkan pengiriman gambar sidik jari yang valid ke server untuk pencocokan.
Namun demikian, Blackwell berhasil melewati sistem tersebut dengan menggunakan rekayasa balik untuk menemukan kerentanan pada sensor sidik jari, kemudian membuat perangkat USB terpisah untuk melakukan serangan man-in-the-middle (MitM). Perangkat ini memungkinkan kelompok tersebut untuk melewati perangkat keras otentikasi sidik jari pada perangkat tersebut.
Menurut Blackwell, meskipun Microsoft menggunakan Secure Device Connection Protocol (SDCP) untuk menyediakan saluran aman antara server dan perangkat biometrik, dua dari tiga sensor sidik jari yang diuji bahkan tidak mengaktifkan SDCP. Blackwell merekomendasikan agar semua perusahaan sensor sidik jari tidak hanya mengaktifkan SDCP pada produk mereka, tetapi juga meminta perusahaan pihak ketiga untuk memastikan SDCP berfungsi.
Perlu dicatat bahwa Blackwell menghabiskan sekitar tiga bulan untuk mencoba melampaui produk perangkat keras sidik jari ini. Masih belum jelas bagaimana Microsoft dan perusahaan sensor sidik jari lainnya akan mengatasi masalah ini berdasarkan penelitian ini.
Tautan sumber
Komentar (0)