ข้อบกพร่องด้านความปลอดภัยทำให้สามารถเข้าถึงพีซีได้โดยไม่ต้องใช้ลายนิ้วมือ

Neowin รายงานว่า ทีม Blackwell Intelligence ได้เปิดเผยผลการวิจัยในเดือนตุลาคมระหว่างการประชุมด้านความปลอดภัย BlueHat ของ Microsoft แต่เพิ่งเผยแพร่ผลการวิจัยบนเว็บไซต์ของตนเองในสัปดาห์นี้ บล็อกโพสต์ชื่อ "A Touch of Pwn" ระบุว่าทีมได้ใช้เซ็นเซอร์ลายนิ้วมือในแล็ปท็อป Dell Inspiron 15 และ Lenovo ThinkPad T14 รวมถึง Microsoft Surface Pro Type Covers ที่มีระบบระบุลายนิ้วมือสำหรับ Surface Pro 8 และ X เซ็นเซอร์ลายนิ้วมือเหล่านี้ผลิตโดย Goodix, Synaptics และ ELAN

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — Blackwell ใช้เวลาค้นคว้าประมาณ 3 เดือนจึงจะค้นพบช่องโหว่ใน Windows Hello

เซ็นเซอร์ลายนิ้วมือที่รองรับ Windows Hello ทั้งหมดที่เราทดสอบใช้ฮาร์ดแวร์แบบชิป ซึ่งหมายความว่าการตรวจสอบสิทธิ์จะดำเนินการบนเซ็นเซอร์เองซึ่งมีชิปและพื้นที่เก็บข้อมูลของตัวเอง

ในแถลงการณ์ แบล็กเวลล์กล่าวว่าฐานข้อมูล “เทมเพลตลายนิ้วมือ” (ข้อมูลไบโอเมตริกซ์ที่เซ็นเซอร์ลายนิ้วมือบันทึก) จะถูกจัดเก็บไว้ใน ชิป และการลงทะเบียนและการจับคู่จะดำเนินการโดยตรงบนชิป เนื่องจากเทมเพลตลายนิ้วมือจะไม่หลุดออกจากชิป จึงช่วยลดความกังวลเรื่องความเป็นส่วนตัว เนื่องจากข้อมูลไบโอเมตริกซ์จะถูกจัดเก็บอย่างปลอดภัย นอกจากนี้ยังป้องกันการโจมตีที่เกี่ยวข้องกับการส่งภาพลายนิ้วมือที่ถูกต้องไปยังเซิร์ฟเวอร์เพื่อทำการจับคู่

อย่างไรก็ตาม แบล็กเวลล์สามารถหลบเลี่ยงระบบได้โดยใช้วิศวกรรมย้อนกลับเพื่อค้นหาช่องโหว่ในเซ็นเซอร์ลายนิ้วมือ จากนั้นจึงสร้างอุปกรณ์ USB ของตัวเองที่สามารถโจมตีแบบ man-in-the-middle (MitM) ได้ อุปกรณ์นี้ช่วยให้กลุ่มสามารถหลบเลี่ยงฮาร์ดแวร์ตรวจสอบลายนิ้วมือในอุปกรณ์เหล่านั้นได้

แบล็กเวลล์ยังกล่าวอีกว่า แม้ว่าไมโครซอฟท์จะใช้โปรโตคอลการเชื่อมต่ออุปกรณ์ที่ปลอดภัย (Secure Device Connection Protocol: SDCP) เพื่อสร้างช่องทางที่ปลอดภัยระหว่างเซิร์ฟเวอร์และอุปกรณ์ไบโอเมตริกซ์ แต่เซ็นเซอร์ลายนิ้วมือสองในสามตัวที่ทดสอบกลับไม่ได้เปิดใช้งาน SDCP แบล็กเวลล์แนะนำให้บริษัทผู้ผลิตเซ็นเซอร์ลายนิ้วมือทุกรายไม่เพียงแต่เปิดใช้งาน SDCP บนผลิตภัณฑ์ของตนเท่านั้น แต่ควรให้บริษัทภายนอกช่วยตรวจสอบว่าระบบทำงานได้หรือไม่

สิ่งหนึ่งที่ควรทราบคือ Blackwell ใช้เวลาประมาณสามเดือนกว่าจะพัฒนาผลิตภัณฑ์ฮาร์ดแวร์ลายนิ้วมือเหล่านี้ได้สำเร็จ จากการวิจัยนี้ยังไม่ชัดเจนว่า Microsoft และบริษัทเซ็นเซอร์ลายนิ้วมืออื่นๆ จะแก้ไขปัญหานี้อย่างไร

ลิงค์ที่มา