Исследователям удалось обойти Windows Hello с помощью одного устройства
Майкрософт
Исследователям безопасности из CyberArk удалось обойти распознавание лиц Windows Hello с помощью фальшивой веб-камеры, которая передает ИК-данные на ПК. Процесс, стоящий за этим эксплойтом, относительно прост, хотя он не представляет серьезной проблемы для обычного человека, поскольку для его реализации требуется тактика, подобная Джеймсу Бонду.
Windows Hello проверяет пользователей с помощью ИК-снимка, чтобы увидеть трехмерную карту своего лица, поэтому систему аутентификации нельзя обмануть распечатанной фотографией. Но вы по-прежнему можете передавать системе аутентификации Windows Hello «действительные» изображения с USB-устройства, если оно притворяется камерой с ИК- и RGB-датчиками.
Команда CyberArk обнаружила, что Windows Hello требует одного изображения IR и RGB для проверки пользователя. Итак, они загрузили на свое USB-устройство действительное ИК-показание лица пользователя Windows, а также RGB-изображение Губки Боба. USB-устройство, подключенное к заблокированному ПК, успешно взломало Windows Hello.
Очевидно, что Windows Hello не проверяет, что ИК-изображения взяты из прямой трансляции, и не проверяет содержимое передаваемого RGB-изображения (CyberArk говорит, что требование RGB, вероятно, существует для предотвращения спуфинга). Более совершенная система, вероятно, замедлит процесс входа в систему Windows Hello, что может оказаться нецелесообразным для некоторых пользователей.
Команда CyberArk говорит, что хакеры, вероятно, никогда не использовали этот эксплойт, что имеет смысл. Чтобы осуществить это, хакеру необходим физический доступ к ПК с Windows Hello, а также изображение пользователя в ближнем ИК-диапазоне. Таким образом, помимо кражи ноутбука или проникновения в здание, хакеру нужно будет сделать ваши ИК-фотографии с относительно небольшого расстояния.
Ничего из этого невозможно, и это может быть относительно легко, если вы хакер с серьезной рабочей этикой, агент на государственной зарплате или недовольный сотрудник, пытающийся обмануть своего работодателя. Но здесь еще много мелких препятствий. Офисы, которые серьезно относятся к безопасности, обычно прячут USB-порты настольных компьютеров за клетками, например, для предотвращения личных атак, и у вас могут возникнуть проблемы с доступом к конфиденциальным данным на защищенном компьютере или в сети, даже если вы обойдете блокировку экрана.
Microsoft обнаружила этот эксплойт и сообщает, что исправление было выпущено 13 июля (хотя компаниям может потребоваться некоторое время, чтобы фактически установить исправление). Компания также отмечает, что предприятия, использующие Windows Hello Enhanced Sign-in Security, защищены от любого оборудования, которое не было предварительно одобрено их системными администраторами — конечно, если аппаратные устройства, используемые предприятием, небезопасны, Enhanced Sign-in Безопасность может быть нарушена.
CyberArk заявляет, что представит все свои находки Windows Hello на Black Hat 2021, которая пройдет 4 и 5 августа.
Источник: CyberArk через Windows Central .