Microsoft<\/p>\n
S\u00e4kerhetsforskare p\u00e5 CyberArk<\/a> lyckades kringg\u00e5 Windows Hello ansiktsigenk\u00e4nning med hj\u00e4lp av en falsk webbkamera som pumpar in IR-data till en PC. Processen bakom detta utnyttjande \u00e4r relativt enkel, \u00e4ven om det inte \u00e4r ett allvarligt bekymmer f\u00f6r den genomsnittliga personen, eftersom det kr\u00e4ver James Bond-liknande taktik f\u00f6r att genomf\u00f6ra.<\/p>\n Windows Hello verifierar anv\u00e4ndare med hj\u00e4lp av en IR-\u00f6gonblicksbild<\/a> f\u00f6r att se en 3D-karta av deras ansikte, vilket \u00e4r anledningen till att du inte kan lura autentiseringssystemet med ett utskrivet foto. Men du kan fortfarande mata Windows Hello-autentiseringssystem "giltiga" bilder fr\u00e5n en USB-enhet, s\u00e5 l\u00e4nge det utger sig f\u00f6r att vara en kamera med IR- och RGB-sensorer.<\/p>\n CyberArk-teamet uppt\u00e4ckte att Windows Hello kr\u00e4ver en enda IR- och RGB-bild f\u00f6r att verifiera en anv\u00e4ndare. S\u00e5 de laddade sin USB-enhet med en giltig IR-avl\u00e4sning av en Windows-anv\u00e4ndares ansikte, plus en RGB-bild av Spongebob. USB-enheten, ansluten till en l\u00e5st dator, br\u00f6t igenom Windows Hello.<\/p>\n Uppenbarligen verifierar inte Windows Hello att IR-bilder kommer fr\u00e5n ett livefl\u00f6de, och det kontrollerar inte inneh\u00e5llet i vilken RGB-bild den \u00f6verl\u00e4mnas (CyberArk s\u00e4ger att RGB-kravet f\u00f6rmodligen finns f\u00f6r att f\u00f6rhindra spoofing). Ett mer grundligt system skulle f\u00f6rmodligen sakta ner Windows Hello-inloggningsprocessen, vilket kan motverka syftet f\u00f6r vissa anv\u00e4ndare.<\/p>\n Teamet p\u00e5 CyberArk s\u00e4ger att hackare f\u00f6rmodligen aldrig har anv\u00e4nt denna exploatering, vilket \u00e4r vettigt. F\u00f6r att klara av detta beh\u00f6ver en hackare fysisk tillg\u00e5ng till en PC som k\u00f6r Windows Hello, plus en n\u00e4ra-IR-bild av anv\u00e4ndaren. S\u00e5 ut\u00f6ver att stj\u00e4la en b\u00e4rbar dator eller smyga in i en byggnad, skulle hackaren beh\u00f6va ta IR-bilder av dig p\u00e5 relativt kort avst\u00e5nd.<\/p>\n Inget av detta \u00e4r om\u00f6jligt, och det kan vara relativt enkelt om du \u00e4r en hacker med en seri\u00f6s arbetsmoral, en agent p\u00e5 statlig l\u00f6nelista eller en missn\u00f6jd anst\u00e4lld som f\u00f6rs\u00f6ker smutskasta din arbetsgivare. Men det finns fortfarande m\u00e5nga sm\u00e5 hinder h\u00e4r. Kontor som menar allvar med s\u00e4kerhet tenderar att g\u00f6mma skrivbordets USB-portar bakom burar f\u00f6r att f\u00f6rhindra personliga attacker, till exempel, och du kan ha problem med att komma \u00e5t k\u00e4nsliga p\u00e5 en s\u00e4ker dator eller n\u00e4tverk \u00e4ven om du kringg\u00e5r en l\u00e5ssk\u00e4rm.<\/p>\n Microsoft har identifierat<\/a> detta utnyttjande och s\u00e4ger att en patch sl\u00e4pptes den 13 juli (\u00e4ven om det kan ta ett tag f\u00f6r f\u00f6retag att faktiskt installera patchen). F\u00f6retaget p\u00e5pekar ocks\u00e5 att f\u00f6retag som anv\u00e4nder Windows Hello Enhanced Sign-in Security \u00e4r skyddade mot all h\u00e5rdvara som inte \u00e4r f\u00f6rgodk\u00e4nd av deras systemadministrat\u00f6rer \u2013 naturligtvis, om h\u00e5rdvaruenheterna som anv\u00e4nds av ett f\u00f6retag \u00e4r os\u00e4kra, f\u00f6rb\u00e4ttrad inloggning S\u00e4kerheten kan \u00e4ventyras.<\/p>\n CyberArk s\u00e4ger att det kommer att presentera alla sina Windows Hello-resultat p\u00e5 Black Hat 2021<\/a>, som k\u00f6rs 4 och 5 augusti.<\/p>\n K\u00e4lla: CyberArk<\/a> via Windows Central<\/a><\/p>\n