Προς το περιεχόμενο

Ο έλεγχος ταυτοποίησης μέσω δακτυλικών αποτυπωμάτων του Windows Hello της Microsoft, παρακάμφθηκε


nchatz

Προτεινόμενες αναρτήσεις

Σημαντικές ευπάθειες ασφαλείας βρέθηκαν στη λειτουργία ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων του Windows Hello, οι οποίες επηρεάζουν φορητούς υπολογιστές των Dell, Lenovo και Microsoft.

Οι ευπάθειες ανακαλύφθηκαν από την Blackwing Intelligence, η οποία κλήθηκε από την "Offensive Research and Security Engineering (MORSE)" της Microsoft να αξιολογήσει την ασφάλεια των αισθητήρων δακτυλικών αποτυπωμάτων.

Οι ερευνητές επικεντρώθηκαν στους αισθητήρες δακτυλικών αποτυπωμάτων των Goodix, Synaptics και ELAN και μοιράστηκαν τα ευρήματά τους στο συνέδριο BlueHat της Microsoft. Δημοσίευσαν επίσης μια ανάρτηση στο blog του συνεδρίου που εξηγεί πώς δημιούργησαν μια συσκευή USB ικανή να εκτελέσει μια επίθεση man-in-the-middle (MitM), η οποία θα μπορούσε δυνητικά να χορηγήσει πρόσβαση σε έναν κλεμμένο φορητό υπολογιστή ή να επιτρέψει μια επίθεση σε μια αφύλακτη συσκευή.

Οι ερευνητές απόκτησαν πρόσβαση σε συσκευές ανάγνωσης δακτυλικών αποτυπωμάτων σε ένα Dell Inspiron 15, Lenovo ThinkPad T14 και Microsoft Surface Pro X, παρακάμπτοντας την προστασία του Windows Hello, εάν όμως είχε προηγουμένως χρησιμοποιηθεί ο αναγνώστης για την ταυτοποίηση του χρήστη. Οι ερευνητές προχώρησαν σε reverse engineer τόσο στο software όσο και στο hardware, βρίσκοντας bugs στην κρυπτογραφική υλοποίηση ενός custom TLS στον αισθητήρα της Synaptics. Η διαδικασία περιελάμβανε επίσης το decoding και τη νέα ενσωμάτωη ιδιόκτητων πρωτοκόλλων.

Οι αισθητήρες δακτυλικών αποτυπωμάτων γίνονται ολοένα και πιο δημοφιλείς μεταξύ των χρηστών φορητών υπολογιστών με Windows, με τη Microsoft να αναφέρει πριν από τρία χρόνια ότι σχεδόν το 85% των καταναλωτών χρησιμοποιούσαν το Windows Hello για την είσοδο αντί για κωδικούς πρόσβασης. Ωστόσο, αυτή δεν είναι η πρώτη φορά που παραβιάζεται ο βιομετρικός έλεγχος ταυτότητας του Windows Hello. Το 2021, η Microsoft χρειάστηκε να αντιμετωπίσει μια ευπάθεια που επέτρεπε την παράκαμψη της ταυτοποίησης μέσω Windows Hello με τη χρήση μιας καταγεγραμμένης υπέρυθρης εικόνας του προσώπου του θύματος.

Οι ερευνητές σημείωσαν ότι ενώ το πρωτόκολλο Secure Device Connection Protocol (SDCP) της Microsoft ήταν καλά σχεδιασμένο, οι κατασκευαστές συσκευών φαίνεται να παρερμηνεύουν ορισμένους από τους στόχους του. Επιπλέον, το SDCP καλύπτει μόνο ένα μικρό μέρος της λειτουργίας μιας τυπικής συσκευής, αφήνοντας εκτεθειμένη μια μεγάλη επιφάνεια επίθεσης. Οι ερευνητές διαπίστωσαν επίσης ότι η προστασία SDCP δεν ήταν ενεργοποιημένη σε δύο από τις τρεις συσκευές που χρησιμοποιήθηκαν στη δοκιμή επίθεσης.

Η Blackwing Intelligence συμβουλεύει τους κατασκευαστές (OEM) να διασφαλίσουν ότι το SDCP είναι ενεργοποιημένο και να ελέγξουν την εφαρμογή του αισθητήρα δακτυλικών αποτυπωμάτων από εξειδικευμένο εμπειρογνώμονα. Οι ερευνητές διερευνούν επίσης πιθανές επιθέσεις διαφθοράς μνήμης στο firmware του αισθητήρα και την ασφάλεια των αισθητήρων δακτυλικών αποτυπωμάτων σε συσκευές Linux, Android και Apple.


Διαβάστε ολόκληρο το άρθρο

Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

  • Απαντ. 49
  • Δημ.
  • Τελ. απάντηση

Συχνή συμμετοχή στο θέμα

Δημοφιλείς Ημέρες

Αυτες οι βλακείες με τα δακτυλικά αποτυπώματα ειναι μονο για χαρτογιακαδες, οχι για μαστόρους καθε είδους, τις προάλλες έκοψα το χέρι και δεν μπορούσα να μπω και οχι μονο αυτό πολλές περιπτώσεις.

  • Like 6
Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

Αναβάθμισα σε W11 σε λάπτοπ Dell με δαχτυλικό αποτύπωμα. Μετά την προηγούμενη αναβάθμιση στις αρχές του μήνα, δεν μπορούσα να μπω με δαχτυλικό αποτύπωμα...

Έκανα φορμάτ και επέστρεψα στα W10. Εννοείται δεν πέρασα ξανά δαχτυλικό αποτύπωμα...

 

Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

14 λεπτά πριν, alejsalonica είπε

Καταλάβατε τώρα την διαφορά με τα συστήματα της Apple? 

Καταρχάς δεν παραβιάστηκε το δακτυλικό αποτύπωμα εξαιτίας των windows αλλά εξαιτίας bugs στο firmware των κατασκευαστών. Κατά δεύτερον, ελπίζω να μη μιλάς σοβαρά για ασφάλεια σε Mac os.

  • Like 10
Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

27 λεπτά πριν, NikosKallithea είπε

Αυτες οι βλακείες με τα δακτυλικά αποτυπώματα ειναι μονο για χαρτογιακαδες, οχι για μαστόρους καθε είδους, τις προάλλες έκοψα το χέρι και δεν μπορούσα να μπω και οχι μονο αυτό πολλές περιπτώσεις.

Βασικά είναι εντελώς άχρηστο σε όσους ασχολούνται με οικοδομές. Αν δεν έχει φύγει κομμάτι απτην πέτσα και ουσιαστικά δεν το διαβάζει η θα έχω λάδια η θα έχω σιλικόνες. 

  • Like 2
Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

12 λεπτά πριν, Retromaniac είπε

Καταρχάς δεν παραβιάστηκε το δακτυλικό αποτύπωμα εξαιτίας των windows αλλά εξαιτίας bugs στο firmware των κατασκευαστών. Κατά δεύτερον, ελπίζω να μη μιλάς σοβαρά για ασφάλεια σε Mac os.

Φαντάζομαι όμως ότι παρόμοια έρευνα έχει γίνει και στις Apple συσκευές όπου ή δεν βρήκαν κάτι ή μας το κρύβουν γιατί συμπαθούν την Apple…

  • Like 3
Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

18 λεπτά πριν, Le Perv είπε

Ωχ, ψαχνουν και το αndroid?
θα κλαψουνε μανουλες.

Και την Apple...

Αυτό το vulnerability είναι τύπου αμα σας κλέψουν το χρηματοκιβώτιο, με την ησυχία τους κάποια στιγμή θα το ανοίξουν! Προσοχή! 😂

6 λεπτά πριν, AtiX είπε

Φαντάζομαι όμως ότι παρόμοια έρευνα έχει γίνει και στις Apple συσκευές όπου ή δεν βρήκαν κάτι ή μας το κρύβουν γιατί συμπαθούν την Apple…

Το γράφει παρακάτω...
 Οι ερευνητές διερευνούν επίσης πιθανές επιθέσεις διαφθοράς μνήμης στο firmware του αισθητήρα και την ασφάλεια των αισθητήρων δακτυλικών αποτυπωμάτων σε συσκευές Linux, Android και Apple.

Αμα ο κατασκευαστής έχει πρόβλημα θα βγει στην επιφάνεια.

Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

Δημοσ. (επεξεργασμένο)
9 λεπτά πριν, Volga είπε

Και την Apple...

Αυτό το vulnerability είναι τύπου αμα σας κλέψουν το χρηματοκιβώτιο, με την ησυχία τους κάποια στιγμή θα το ανοίξουν! Προσοχή! 😂

Το γράφει παρακάτω...
 Οι ερευνητές διερευνούν επίσης πιθανές επιθέσεις διαφθοράς μνήμης στο firmware του αισθητήρα και την ασφάλεια των αισθητήρων δακτυλικών αποτυπωμάτων σε συσκευές Linux, Android και Apple.

Αμα ο κατασκευαστής έχει πρόβλημα θα βγει στην επιφάνεια.

Παρόμοιες ειδήσεις έχουμε διαβάσει καμιά ντουζίνα από τότε που μπήκε για πρώτη φορά το δακτυλικό αποτύπωμα σε συσκευές…

καμία δεν ανέφερε τις συσκευές της Apple, που ξέρεις μπορεί αύριο, μεθαύριο να το διαβάσουμε και αυτό αν και δεν θα πόνταρα σε αυτό το ενδεχόμενο…

Επεξ/σία από AtiX
  • Like 2
Συνδέστε για να σχολιάσετε
Κοινοποίηση σε άλλες σελίδες

Δημιουργήστε ένα λογαριασμό ή συνδεθείτε για να σχολιάσετε

Πρέπει να είστε μέλος για να αφήσετε σχόλιο

Δημιουργία λογαριασμού

Εγγραφείτε με νέο λογαριασμό στην κοινότητα μας. Είναι πανεύκολο!

Δημιουργία νέου λογαριασμού

Σύνδεση

Έχετε ήδη λογαριασμό; Συνδεθείτε εδώ.

Συνδεθείτε τώρα

  • Δημιουργία νέου...