...
🧑 💻 Piszemy artykuły o gadżetach, komputerach, samochodach, grach i hobby. Przydatne recenzje o najciekawszych

Naukowcom udało się ominąć Windows Hello za pomocą jednego elementu sprzętu

3

Microsoft

Badaczom bezpieczeństwa z CyberArk udało się ominąć rozpoznawanie twarzy Windows Hello za pomocą fałszywej kamery internetowej, która pompuje dane w podczerwieni do komputera. Proces kryjący się za tym exploitem jest stosunkowo prosty, chociaż nie stanowi poważnego problemu dla przeciętnego człowieka, ponieważ wymaga taktyki podobnej do Jamesa Bonda.

Windows Hello weryfikuje użytkowników za pomocą migawki w podczerwieni, aby zobaczyć trójwymiarową mapę ich twarzy, dlatego nie można oszukać systemu uwierzytelniania wydrukowanym zdjęciem. Ale nadal możesz przesyłać „prawidłowe" obrazy do systemu uwierzytelniania Windows Hello z urządzenia USB, o ile udaje ono kamerę z czujnikami podczerwieni i RGB.

Zespół CyberArk odkrył, że Windows Hello wymaga jednego obrazu IR i RGB do weryfikacji użytkownika. Więc załadowali swoje urządzenie USB z prawidłowym odczytem IR twarzy użytkownika systemu Windows oraz obrazem RGB Spongeboba. Urządzenie USB podłączone do zablokowanego komputera z powodzeniem przebiło się przez Windows Hello.

Widocznie funkcja Windows Hello nie weryfikuje, czy obrazy w podczerwieni pochodzą z przekazu na żywo, ani nie sprawdza zawartości przekazywanego obrazu RGB (CyberArk twierdzi, że prawdopodobnie istnieje wymóg RGB, aby zapobiec podszywaniu się). Dokładniejszy system prawdopodobnie spowolniłby proces logowania Windows Hello, co może zniweczyć cel dla niektórych użytkowników.

Zespół CyberArk twierdzi, że hakerzy prawdopodobnie nigdy nie wykorzystali tego exploita, co ma sens. Aby to osiągnąć, haker potrzebuje fizycznego dostępu do komputera z systemem Windows Hello oraz obrazu swojego użytkownika w bliskiej podczerwieni. Tak więc oprócz kradzieży laptopa lub wkradnięcia się do budynku haker musiałby zrobić Ci zdjęcia w podczerwieni ze stosunkowo niewielkiej odległości.

Nic z tego nie jest niemożliwe i może być stosunkowo łatwe, jeśli jesteś hakerem z poważną etyką pracy, agentem na liście płac rządowych lub niezadowolonym pracownikiem próbującym oszukać swojego pracodawcę. Ale wciąż jest tu wiele małych przeszkód. Biura, które poważnie podchodzą do kwestii bezpieczeństwa, zwykle ukrywają porty USB komputera stacjonarnego za klatkami, aby na przykład zapobiec osobistym atakom, i możesz mieć problemy z dostępem do poufnych informacji na zabezpieczonym komputerze lub sieci, nawet jeśli ominiesz ekran blokady.

Microsoft zidentyfikował tego exploita i twierdzi, że łatka została wydana 13 lipca (chociaż może to trochę potrwać, zanim firmy faktycznie zainstalują łatę). Firma zwraca również uwagę, że firmy korzystające z funkcji Ulepszone zabezpieczenia logowania Windows Hello są chronione przed wszelkim sprzętem, który nie został wstępnie zatwierdzony przez administratorów systemu — oczywiście, jeśli urządzenia sprzętowe używane przez firmę są niezabezpieczone, Ulepszone logowanie Bezpieczeństwo może zostać naruszone.

CyberArk zapowiada, że ​​zaprezentuje wszystkie swoje wyniki Windows Hello na Black Hat 2021, który odbędzie się 4 i 5 sierpnia.

Źródło: CyberArk za pośrednictwem Windows Central

Źródło nagrywania: www.reviewgeek.com

Ta strona korzysta z plików cookie, aby poprawić Twoje wrażenia. Zakładamy, że nie masz nic przeciwko, ale możesz zrezygnować, jeśli chcesz. Akceptuję Więcej szczegółów