ข้อบกพร่องด้านความปลอดภัยทำให้สามารถเข้าถึงพีซีได้โดยไม่ต้องใช้ลายนิ้วมือ

ตามรายงานของ Neowin ทีม Blackwell Intelligence เปิดเผยผลการค้นพบเมื่อเดือนตุลาคมปีที่แล้วในงานประชุมด้านความปลอดภัย BlueHat ของ Microsoft แต่พวกเขาเพิ่งจะโพสต์ผลลัพธ์บนเว็บไซต์ของตนเองเมื่อสัปดาห์นี้เอง โพสต์ในบล็อกที่มีชื่อว่า “A Touch of Pwn” ระบุว่าทีมงานได้ใช้เซ็นเซอร์ลายนิ้วมือภายในแล็ปท็อป Dell Inspiron 15 และ Lenovo ThinkPad T14 รวมถึง Microsoft Surface Pro Type Covers ที่มีระบบระบุลายนิ้วมือที่ออกแบบมาสำหรับ Surface Pro 8 และ X เซ็นเซอร์ลายนิ้วมือโดยเฉพาะนั้นผลิตโดย Goodix, Synaptics และ ELAN

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — Blackwell ใช้เวลาค้นคว้าประมาณ 3 เดือนจึงจะค้นพบช่องโหว่ใน Windows Hello

เซ็นเซอร์ลายนิ้วมือที่รองรับ Windows Hello ทั้งหมดที่เราทดสอบใช้ฮาร์ดแวร์แบบชิป ซึ่งหมายความว่าการตรวจสอบความถูกต้องจะดำเนินการบนเซ็นเซอร์เองซึ่งมีชิปและที่เก็บข้อมูลของตัวเอง

ในแถลงการณ์ของเขา แบล็กเวลล์กล่าวว่าฐานข้อมูลของ "เทมเพลตลายนิ้วมือ" (ข้อมูลไบโอเมตริกซ์ที่รวบรวมโดยเซ็นเซอร์ลายนิ้วมือ) จะถูกเก็บไว้บน ชิป และการลงทะเบียนและการจับคู่จะดำเนินการโดยตรงในชิป เนื่องจากรูปแบบลายนิ้วมือไม่เคยออกจากชิป จึงขจัดข้อกังวลด้านความเป็นส่วนตัวเนื่องจากข้อมูลไบโอเมตริกซ์จะถูกเก็บไว้อย่างปลอดภัย วิธีนี้ยังป้องกันการโจมตีที่เกี่ยวข้องกับการส่งภาพลายนิ้วมือที่ถูกต้องไปยังเซิร์ฟเวอร์เพื่อการเปรียบเทียบอีกด้วย

อย่างไรก็ตาม แบล็กเวลล์สามารถหลีกเลี่ยงระบบได้ด้วยการใช้การวิศวกรรมย้อนกลับเพื่อค้นหาช่องโหว่ในเซ็นเซอร์ลายนิ้วมือ จากนั้นจึงสร้างอุปกรณ์ USB ของตัวเองเพื่อดำเนินการโจมตีแบบ man-in-the-middle (MitM) อุปกรณ์นี้จะช่วยให้กลุ่มสามารถข้ามฮาร์ดแวร์การตรวจสอบลายนิ้วมือในอุปกรณ์เหล่านั้นได้

นอกจากนี้ ตามที่ Blackwell ระบุ แม้ว่า Microsoft จะใช้ Secure Device Connection Protocol (SDCP) เพื่อให้มีช่องทางที่ปลอดภัยระหว่างเซิร์ฟเวอร์และอุปกรณ์ไบโอเมตริกซ์ แต่เซ็นเซอร์ลายนิ้วมือสองในสามตัวที่ทดสอบนั้นไม่ได้เปิดใช้ SDCP ด้วยซ้ำ Blackwell ขอแนะนำให้บริษัทผู้ผลิตเซ็นเซอร์ลายนิ้วมือไม่เพียงแต่เปิดใช้งาน SDCP ในผลิตภัณฑ์ของตนเท่านั้น แต่ควรมีบริษัทภายนอกคอยตรวจสอบให้แน่ใจว่าใช้งานได้ด้วย

สิ่งหนึ่งที่ควรทราบคือ Blackwell ใช้เวลาทำงานหนักถึง 3 เดือนจึงจะแซงหน้าผลิตภัณฑ์ฮาร์ดแวร์ลายนิ้วมือเหล่านี้ ยังไม่ชัดเจนว่า Microsoft และบริษัทเซ็นเซอร์ลายนิ้วมืออื่น ๆ จะแก้ไขปัญหานี้อย่างไรตามการวิจัยนี้

ลิงค์ที่มา