Windows Hello autentifikacija se može zaobići na Microsoft, Dell i Lenovo laptopovima

Vesti, 27.11.2023, 13:00 PM

Windows Hello autentifikacija se može zaobići na Microsoft, Dell i Lenovo laptopovima

Stručnjaci za hardversku bezbednost iz Blackwing Intelligencea otkrili su ranjivosti u sistemu za potvrdu identiteta otiskom prsta Windows Hello, pokazujući kako se može zaobići da bi se dobio neovlašćeni pristup uređajima.

Istraživanje, koje je sponzorisala Microsoftova grupa za ofanzivno istraživanje i bezbednosni inženjering i koje je predstavljeno na Microsoft BlueHat konferenciji, otkrilo je kritične nedostatke u implementaciji autentifikacije otiskom prsta na određenim laptopovima.

Fokus istraživanja bio je na tri popularna modela laptopa: Microsoft Surface Pro 8/X, Dell Inspiron 15 i Lenovo ThinkPad T14, od kojih je svaki opremljen senzorima otiska prsta iz ELAN-a, Goodixa i Synapticsa.

Stručnjaci za bezbednost, Džesi Degvano i Timo Teras, koristili su tehnike reverznog inženjeringa i na softveru i na hardveru, i otkrili da su sva tri uređaja ranjiva na različite metode zaobilaženja Windows Hello autentikacije otiskom prsta.

Prema istraživačima, ranjivosti nisu inherentne Windows Hellou ili samoj tehnologiji otiska prsta, već potiču od nedostataka i previda u komunikaciji između hardverskih i softverskih komponenti sistema za autentifikaciju.

Ako napadač može da dobije fizički pristup uređaju dovoljno dugo da poveže elektronsku opremu, mogao bi da iskoristi ove ranjivosti i zaobiđe autentifikaciju otiskom prsta.

Windows Hello omogućava korisnicima da pristupe operativnom sistemu prijavljivanjem pomoću otiska prsta. Proces uključuje generisanje ID-a povezanog sa otiskom prsta korisnika, koji se čuva u čipsetu senzora. Tokom prijavljivanja, OS poklapa prikazani otisak prsta sa sačuvanim otiskom povezanim sa generisanim ID-om.

Ranjivosti omogućavaju manipulaciju podacima senzora otiska prsta.

Istraživači kažu da, uprkos ovim ranjivostima, šifrovanje celog diska i BIOS lozinke i dalje mogu da obezbede efikasni stepen bezbednosti.

Istraživači su prepoznali Microsoftovu posvećenost dizajniranju protokola za bezbedno povezivanje uređaja (Secure Device Connection Protocol, SDCP) za uspostavljanje bezbednog kanala između hosta i biometrijskih uređaja. Oni su kritikovali proizvođače uređaja jer SDCP nije aktiviran na dva od tri ranjiva laptopa, što izaziva zabrinutost zbog sveobuhvatnih bezbednosnih mera koje su primenili proizvođači.

Senzori otiska prsta su široko prihvaćeni među korisnicima Windows laptop računara zbog Microsoftove promocije Windows Helloa i vizije kompanije o budućnosti bez lozinke. Pre tri godine, Microsoft je objavio da skoro 85% korisnika koristi Windows Hello za prijavljivanje na Windows 10 uređaje.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Hakeri prevarili popularni maloprodajni lanac Pepco, ukradeno 15,5 miliona evra

Hakeri prevarili popularni maloprodajni lanac Pepco, ukradeno 15,5 miliona evra

Evropski diskontni maloprodajni lanac Pepco Group koji posluje u 21 zemlji, prijavio je fišing napad u svom ogranku u Mađarskoj, koji je rezultirao ... Dalje

Malver sakriven u lažnim mejlovima sa sajta Booking.com

Malver sakriven u lažnim mejlovima sa sajta Booking.com

Prevaranti ciljaju korisnike popularnih provajdera usluga u vezi putovanja malverom Agent Tesla, šaljući im mejlove u ime sajtova kao što je Bookin... Dalje

Posle velike policijske akcije, ransomware kartel LockBit je ponovo aktivan, stižu izveštaji o novim žrtvama njihovih napada

Posle velike policijske akcije, ransomware kartel LockBit je ponovo aktivan, stižu izveštaji o novim žrtvama njihovih napada

Nekoliko dana nakon što je globalna policijska akcija desetkovala njihovu infrastrukturu, zloglasna ransomware grupa LockBit se ponovo se pojavila. &... Dalje

Apple uvodi u iMessage novu zaštitu od napada iz budućnosti

Apple uvodi u iMessage novu zaštitu od napada iz budućnosti

Apple je objavio da uvodi u iMessage novi post-kvantni kriptografski protokol pod nazivom PQ3, dizajniran da brani šifrovanje od kvantnih napada. iMe... Dalje

Avast kažnjen sa 16,5 miliona dolara zbog prodaje podataka o pretraživanju korisnika

Avast kažnjen sa 16,5 miliona dolara zbog prodaje podataka o pretraživanju korisnika

Američka Federalna trgovinska komisija (FTC) kaznila je Avast kaznom od 16,5 miliona dolara zbog prodaje podataka o pretraživanju korisnika oglašiv... Dalje