Windows Hello autentifikaciju otiskom prsta moguće zaobići

Sigurnosni istraživači su otkrili da je Windows Hello autentifikaciju otiskom prsta moguće zaobići na Dell Inspiron, Lenovo ThinkPad i Microsoft Surface Pro X laptop uređajima iskorištavanjem sigurnosnih propusta pronađenim u ugrađenim senzorima otiska prsta.

WINDOWS HELLO RANJIVOST

Nedavna istraga je otkrila značajne ranjivosti koje bi potencijalno mogle da ugroze Windows Hello autentifikaciju na popularnim laptop računarima, uključujući Dell Inspiron 15, Lenovo ThinkPad T14 i Microsoft Surface Pro X. Istraživanje koje je sprovela Blackwing Intelligence, firma specijalizovana za bezbjednost hardverskih i softverskih proizvoda i primijetila nedostatke u senzorima otiska prsta integrisanim u ove uređaje, posebno u proizvodima Goodix, Synaptics i ELAN.

Kompanija Microsoft je uvela protokol za bezbjedno povezivanje uređaja (eng. Secure Device Connection Protocol – SDCP) radi poboljšanja bezbjednosti, koji ima za cilj da odgovori na tri pitanja o senzoru:

• Kako laptop može biti siguran da razgovara sa pouzdanim senzorom, a ne sa zlonamjernim?
• Kako laptop može biti siguran da senzor nije kompromitovan?
• Kako je zaštićen neobrađen ulaz sa senzora?
  • Unos mora biti autentifikovan.
  • Unos je svjež i ne može se ponovo reprodukovati.

 

Ipak, pored toga istraživači su identifikovali novi metod za zaobilaženje ovih zaštitnih mehanizama, omogućavajući napade protivnik u sredini (eng. adversary-in-the-middle – AitM).

 

PROBLEM SENZORA

Senzori otiska prsta o kojima je riječ se klasifikuju kao „podudarni na čipu“ (eng. match on chip – MoC) sa integrisanim kolom koje upravlja biometrijskim funkcijama direktno unutar senzora. Dok MoC sprečava ponovnu reprodukciju uskladištenih podataka o otisku prsta radi podudaranja, ne uspijeva da spriječi zlonamjerni senzor da oponaša nečiju legitimnu komunikaciju sa uređajem, lažno autentifikujući ovlaštenog korisnika.

 

ELAN

ELAN senzor je podložan lažiranju senzora i prenošenju jasnog teksta bezbjednosnih identifikatora (eng. security identifiers – SID), omogućavajući bilo kom USB uređaju da se predstavlja kao senzor otiska prsta i dobije neovlašteni pristup.

 

Synaptics

Synaptics senzore podrazumijevane postavke su imale isključen SDCP oslanjajući se na pogrešnu prilagođenu bezbjednost transportnog sloja (TLS) čime je otkrivena ranjivost koja bi se mogla iskoristiti da bi se zaobišla biometrijska autentifikacija.

 

Goodix

Kod Goodix senzora dolazi do iskorištavanja razlika u operacijama upisa između Windows i Linux sistema. Iskoristivši nedostatak SDCP podrške u Linux operativnom sistemu, napadač bi mogao da upiše otisak prsta na mašini sa Linux sistemom i da ga kasnije koristi da se prijavi kao legitimni korisnik Windows operativnom sistemu.

 

NAPADA NA UREĐAJE

Napad zahteva fizički pristup ciljnom uređaju, što znači da bi napadač morao da ukrade uređaj ili da iskoristi trenutak kada je uređaj bez nadzora. Napadi koje su primijenili sigurnosni istraživači su izvršeni povezivanjem uređaja za hakovanje na svaki laptop preko USB porta ili povezivanjem senzora otiska prsta na posebno napravljenu opremu.

 

Dell i Lenovo

Kada se radi o Dell i Lenovo laptop uređajima, Windows Hello autentifikaciju otiskom prsta je zaobiđena nabrajanjem važećih identifikatora (ID) povezanih sa otiscima prstiju korisnika i upisivanjem otiska prsta napadača lažiranjem legitimnog identifikatora korisnika.

 

Microsoft

U slučaju Microsoft Surface laptop uređaja napadač treba da isključi Type Cover, koja je u suštini tastatura sa senzorom otiska prsta, i poveže USB uređaj koji lažira senzor otiska prsta i daje instrukcije sistemu da se ovlašćeni korisnik prijavljuje.

 

ZAKLJUČAK

Kompanija Microsoft je prije tri godine saopštila da je broj korisnika koji se prijavljuje na svoje Wndows 10 uređaje koristeći Windows Hello autentifikaciju umjesto lozinke porastao na 84,7% u odnosu na 2019. godinu kada je bio 69,4%.

Uzimajući ove informacije kompanije Microsoft vezane za korištenje Windows Hello autentifikacije, postoji značajna doza zabrinutosti s obzirom da su sigurnosni istraživači tokom tri mjeseca testiranja dobili rezultate u tri slučaja sa 100% mogućnosti zaobilaženja ovog načina autentifikacije.

Biometrijska autentifikacija može biti veoma korisna da omogući korisnicima da se lako prijave. Ovo je posebno korisno u mobilnim scenarijima, omogućavajući korisniku da odabere dugu lozinku za zaštitu od dešifrovanja svojih podataka, dok im omogućava da pristupaju svom uređaju tokom dana bez neprijatnosti unošenje duge lozinke.

Uzimajući to u obzir, kompanija Microsoft je uradila dobar posao dizajnirajući SDCP kako bi obezbijedila siguran kanal između uređaja koji treba zaštiti i biometrijskih uređaja koji se koriste za zaštitu, ali nažalost proizvođači uređaja su izgleda pogrešno razumjeli neke od ciljeva. Pored toga, SDCP pokriva veoma uzak obim rada tipičnog uređaja, dok većina uređaja ima veliku izloženu površinu napada koju SDCP uopšte ne pokriva.

Konačno, SDCP čak nije bio omogućen ni na dva od tri uređaja koji su testirani i kod kojih je pronađena ova ranjivost.

 

ZAŠTITA

Preporuka sigurnosnih istraživača je da proizvođači koji proizvode biometrijska rješenja za autentifikaciju imaju na umu da je SDCP moćan protokol, ali ne pomaže ako nije omogućen ili kada se može zaobići korištenjem drugih slabih veza u podešavanju proizvoda. Pored toga trebalo bi da nezavisni kvalifikovani stručnjaci izvrše provjeru implementacije senzorskih riješenja. Ovdje treba voditi računa, da iako su imenovana tri proizvođača, to ne znači da i drugi proizvođači nemaju ovaj problem, već da sigurnosni istraživači nisu stigli da ih sve testiraju.

Korisnici uređaja koji su zabrinuti da će napadači moći da se približe uređajima koje koriste i izvrše napad preko USB porta, ne bi trebalo da koriste otiske prstiju kao metod autentifikacije i ta opcija bi trebalo da bude onemogućena. Dok se proizvođači ne pozabave slabostima u svojim podešavanjima, korisnici ne mogu pretpostaviti da je ovo siguran metod autentifikacije.