ข้อบกพร่องด้านความปลอดภัยทำให้สามารถเข้าถึงพีซีได้โดยไม่ต้องใช้ลายนิ้วมือ

Neowin รายงานว่า ทีม Blackwell Intelligence ได้เปิดเผยผลการวิจัยในเดือนตุลาคมระหว่างการประชุมด้านความปลอดภัย BlueHat ของ Microsoft แต่เพิ่งเผยแพร่ผลการวิจัยบนเว็บไซต์ของตนเองในสัปดาห์นี้ บล็อกโพสต์ชื่อ "A Touch of Pwn" ระบุว่าทีมได้ใช้เซ็นเซอร์ลายนิ้วมือในแล็ปท็อป Dell Inspiron 15 และ Lenovo ThinkPad T14 รวมถึง Microsoft Surface Pro Type Covers ที่มีระบบระบุลายนิ้วมือสำหรับ Surface Pro 8 และ X เซ็นเซอร์ลายนิ้วมือเหล่านี้ผลิตโดย Goodix, Synaptics และ ELAN

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — Blackwell ใช้เวลากว่าสามเดือนในการวิจัยเพื่อค้นพบช่องโหว่ใน Windows Hello

เซ็นเซอร์ลายนิ้วมือที่รองรับ Windows Hello ทั้งหมดที่เราทดสอบใช้ฮาร์ดแวร์แบบชิป ซึ่งหมายความว่าการตรวจสอบสิทธิ์จะดำเนินการบนเซ็นเซอร์เองซึ่งมีชิปและพื้นที่เก็บข้อมูลของตัวเอง

ในแถลงการณ์ แบล็กเวลล์กล่าวว่าฐานข้อมูล "เทมเพลตลายนิ้วมือ" (ข้อมูลไบโอเมตริกซ์ที่เซ็นเซอร์ลายนิ้วมือบันทึก) จะถูกจัดเก็บไว้ใน ชิป และการลงทะเบียนและการจับคู่จะทำโดยตรงบนชิป เนื่องจากเทมเพลตลายนิ้วมือจะไม่หลุดออกจากชิป จึงช่วยลดความกังวลเรื่องความเป็นส่วนตัว เนื่องจากข้อมูลไบโอเมตริกซ์จะถูกจัดเก็บอย่างปลอดภัย นอกจากนี้ยังป้องกันการโจมตีที่เกี่ยวข้องกับการส่งภาพลายนิ้วมือที่ถูกต้องไปยังเซิร์ฟเวอร์เพื่อทำการจับคู่อีกด้วย

อย่างไรก็ตาม แบล็กเวลล์ยังคงสามารถเลี่ยงระบบได้หลังจากใช้วิศวกรรมย้อนกลับเพื่อค้นหาช่องโหว่ในเซ็นเซอร์ลายนิ้วมือ จากนั้นจึงสร้างอุปกรณ์ USB ของตัวเองที่สามารถโจมตีแบบ man-in-the-middle (MitM) ได้ อุปกรณ์นี้ช่วยให้กลุ่มสามารถเลี่ยงฮาร์ดแวร์ตรวจสอบลายนิ้วมือในอุปกรณ์เหล่านั้นได้

ตามที่ Blackwell ระบุ แม้ว่า Microsoft จะใช้ Secure Device Connection Protocol (SDCP) เพื่อสร้างช่องทางที่ปลอดภัยระหว่างเซิร์ฟเวอร์และอุปกรณ์ไบโอเมตริกซ์ แต่เซ็นเซอร์ลายนิ้วมือสองในสามตัวที่ทดสอบไม่ได้เปิดใช้งาน SDCP เลย Blackwell แนะนำให้บริษัทเซ็นเซอร์ลายนิ้วมือทุกรายไม่เพียงแต่เปิดใช้งาน SDCP บนผลิตภัณฑ์ของตนเท่านั้น แต่ควรให้บริษัทภายนอกช่วยตรวจสอบว่า SDCP ทำงานได้หรือไม่

สิ่งหนึ่งที่ควรทราบคือ Blackwell ใช้เวลาประมาณสามเดือนในการพยายามพัฒนาผลิตภัณฑ์ฮาร์ดแวร์ลายนิ้วมือเหล่านี้ จากการวิจัยนี้ยังไม่ชัดเจนว่า Microsoft และบริษัทเซ็นเซอร์ลายนิ้วมืออื่นๆ จะแก้ไขปัญหานี้อย่างไร

ลิงค์ที่มา