Παρακάμπτεται ο έλεγχος ταυτότητας με δακτυλικά αποτυπώματα Windows Hello της Microsoft σε φορητούς υπολογιστές Dell, Lenovo και Surface

Βασικά Takeaways

• Οι ερευνητές κατάφεραν να παρακάμψουν το Windows Hello σε φορητούς υπολογιστές Dell, Lenovo και Microsoft, επισημαίνοντας τα τρωτά σημεία στην τεχνολογία σάρωσης δακτυλικών αποτυπωμάτων.
• Οι αισθητήρες δακτυλικών αποτυπωμάτων σε αυτούς τους φορητούς υπολογιστές χρησιμοποιούν την τεχνολογία "Match on Chip" για την εκτέλεση βιομετρικής επαλήθευσης στους δικούς τους μικροεπεξεργαστές, αλλά αυτό δεν αποτρέπει εγγενώς τις επιθέσεις πλαστογράφησης.
• Το Πρωτόκολλο Προστασίας Ασφαλούς Συσκευής της Microsoft (SDCP) στοχεύει στην αντιμετώπιση αυτών των τρωτών σημείων, αλλά οι ερευνητές διαπίστωσαν ότι ορισμένα φορητοί υπολογιστές, συμπεριλαμβανομένων των Lenovo ThinkPad T14s και Microsoft Surface Type Cover, δεν χρησιμοποιούσαν καθόλου το SDCP, γεγονός που τους έκανε πιο επιρρεπείς σε επιθέσεις.

Εάν έχετε ένα Φορητός υπολογιστής με Windows

, τότε πιθανότατα έχετε συναντήσει το Windows Hello. Είναι μια βιομετρική σύνδεση που σε υποστηριζόμενους φορητούς υπολογιστές, επιτρέπει στους χρήστες να συνδέονται είτε με σάρωση προσώπου, σάρωση ίριδας ή σάρωση δακτυλικών αποτυπωμάτων. Ωστόσο, σε περίπτωση χρήσης δακτυλικού αποτυπώματος για είσοδο στον φορητό υπολογιστή σας, προειδοποιήστε: ερευνητές από την Blackwing HQ έχουν παρακάμψει το Windows Hello σε τρεις διαφορετικούς φορητούς υπολογιστές από την Dell, τη Lenovo και τη Microsoft.

Μιλώντας στο συνέδριο BlueHat της Microsoft στο Redmond της Ουάσιγκτον, ο Jesse D'Aguanno και ο Timo Teräs αποδείχθηκε πώς κατάφεραν να παρακάμψουν το Windows Hello στο Dell Inspiron 15, στο Lenovo ThinkPad T14 και στο Microsoft Surface Pro Type Cover with Fingerprint ID (για Surface Pro 8/X). Αυτό σήμαινε ότι μπορούσαν να αποκτήσουν πρόσβαση στον λογαριασμό χρήστη και στα δεδομένα του χρήστη σαν να ήταν ένας κανονικός χρήστης. Επιπλέον, οι αισθητήρες που χρησιμοποιούνται σε αυτές τις τρεις συσκευές είναι των Goodix, Synaptics και ELAN αντίστοιχα, που σημαίνει ότι αυτά τα τρωτά σημεία δεν περιορίζονται σε έναν μόνο κατασκευαστή σαρωτή δακτυλικών αποτυπωμάτων ή φορητό υπολογιστή OEM.

Ταιριάξτε στο Chip, το SDCP και το πώς τα χάλασαν οι κατασκευαστές φορητών υπολογιστών

Πρώτα και κύρια, είναι επιτακτική ανάγκη να κατανοήσουμε πώς λειτουργούν αυτοί οι σαρωτές δακτυλικών αποτυπωμάτων και διαλειτουργούν με το κεντρικό σύστημα. Και οι τρεις σαρωτές δακτυλικών αποτυπωμάτων χρησιμοποιούν την τεχνολογία "Match on Chip" (MoC), που σημαίνει ότι συσκευάζουν τον δικό τους μικροεπεξεργαστή και χώρο αποθήκευσης. Όλη η επαλήθευση δακτυλικών αποτυπωμάτων εκτελείται σε αυτό το τσιπ, συμπεριλαμβανομένης της σύγκρισης με τη βάση δεδομένων των "προτύπων δακτυλικών αποτυπωμάτων". τα βιομετρικά δεδομένα που λαμβάνει ο αισθητήρας δακτυλικών αποτυπωμάτων. Αυτό διασφαλίζει ότι ακόμη και αν το κεντρικό μηχάνημα έχει παραβιαστεί (σε αυτήν την περίπτωση, ο ίδιος ο φορητός υπολογιστής), τα βιομετρικά δεδομένα δεν κινδυνεύουν.

Ένα άλλο πλεονέκτημα του MoC είναι ότι εμποδίζει έναν εισβολέα να υπονομεύσει έναν πλαστό αισθητήρα και να στείλει βιομετρικά δεδομένα στο κεντρικό σύστημα. Ωστόσο, δεν εμποδίζει έναν κακόβουλο αισθητήρα να προσποιείται ότι είναι νόμιμος, λέγοντας στο σύστημα ότι ο χρήστης έχει ελέγξει την ταυτότητα. Επίσης, δεν μπορεί να αποτρέψει επιθέσεις επανάληψης, όπου ένας εισβολέας θα παρεμπόδιζε μια έγκυρη προσπάθεια σύνδεσης και στη συνέχεια θα την "επανάληψη" πίσω στο κεντρικό σύστημα. Το Windows Hello Advanced Sign-in Security (ESS) απαιτεί τη χρήση αισθητήρων MoC, αλλά μπορείτε ήδη να δείτε διάφορους τρόπους με τους οποίους οι δημιουργικοί εισβολείς μπορεί να προσπαθήσουν να εισέλθουν στον φορητό υπολογιστή ενός χρήστη. Γι' αυτό η Microsoft ανέπτυξε το SDCP, το Πρωτόκολλο Ασφαλούς Προστασίας Συσκευών.

Το SDCP έχει τους ακόλουθους στόχους:

1. Βεβαιωθείτε ότι η συσκευή δακτυλικών αποτυπωμάτων είναι αξιόπιστη
2. Βεβαιωθείτε ότι η συσκευή δακτυλικών αποτυπωμάτων είναι υγιής
3. Προστασία εισόδου μεταξύ της συσκευής δακτυλικών αποτυπωμάτων και του κεντρικού υπολογιστή

Το SDCP είναι ένα δόγμα που δηλώνει ότι εάν το σύστημα δέχεται μια βιομετρική σύνδεση, μπορεί να το κάνει με την υπόθεση ότι ο κάτοχος της συσκευής ήταν φυσικά παρών τη στιγμή της σύνδεσης. Λειτουργώντας σε μια αλυσίδα εμπιστοσύνης, στοχεύει να απαντήσει στις ακόλουθες ερωτήσεις σχετικά με τον αισθητήρα που χρησιμοποιείται:

1. Μπορεί ο οικοδεσπότης να εμπιστευτεί ότι μιλάει σε μια γνήσια συσκευή;
2. Μπορεί ο οικοδεσπότης να εμπιστευτεί ότι η συσκευή δεν έχει παραβιαστεί ή τροποποιηθεί;
3. Προστατεύονται τα δεδομένα που προέρχονται από τη συσκευή;

Αυτός είναι ο λόγος για τον οποίο το SDCP δημιουργεί ένα κανάλι από άκρο σε άκρο μεταξύ του κεντρικού υπολογιστή και του αισθητήρα δακτυλικών αποτυπωμάτων. Αυτό αξιοποιεί το Secure Boot, το οποίο διασφαλίζει ότι ένα πιστοποιητικό για συγκεκριμένο μοντέλο και ένα ιδιωτικό κλειδί χρησιμεύουν ως αλυσίδα εμπιστοσύνης για την επαλήθευση ότι όλες οι επικοινωνίες δεν έχουν παραβιαστεί. Μπορεί ακόμα να χρησιμοποιηθεί παραβιασμένο υλικολογισμικό, αλλά το σύστημα θα γνωρίζει ότι έχει παραβιαστεί και τροποποιήθηκε και οι ερευνητές παρατήρησαν ότι όλες οι συσκευές που δοκιμάστηκαν υπέγραψαν επίσης το υλικολογισμικό τους για να αποτρέψουν παραποίηση.

Όλα τα παραπάνω ακούγονται καλά και το SDCP ως έννοια είναι ένα εξαιρετικό χαρακτηριστικό ασφαλείας που πρέπει να χρησιμοποιούν οι OEM. Ως αποτέλεσμα, ήταν έκπληξη για τους ερευνητές όταν το Lenovo ThinkPad T14s και το Microsoft Surface Type Cover δεν έκαναν καθόλου χρήση του SDCP.

Για να αναφέρω τους ερευνητές από το Blackwing HQ:

«Η Microsoft έκανε καλή δουλειά σχεδιάζοντας το SDCP για να παρέχει ένα ασφαλές κανάλι μεταξύ του κεντρικού υπολογιστή και των βιομετρικών συσκευών, αλλά δυστυχώς οι κατασκευαστές συσκευών φαίνεται να παρεξηγούν ορισμένους από τους στόχους. Επιπλέον, το SDCP καλύπτει μόνο ένα πολύ στενό εύρος λειτουργίας μιας τυπικής συσκευής, ενώ οι περισσότερες συσκευές έχουν εκτεθειμένη μια αρκετά μεγάλη επιφάνεια επίθεσης που δεν καλύπτεται καθόλου από το SDCP.

Τέλος, διαπιστώσαμε ότι το SDCP δεν ήταν καν ενεργοποιημένο σε δύο από τις τρεις συσκευές που στοχεύσαμε."

Επίθεση σε Dell, Lenovo και Surface

Στην περίπτωση του Dell Inspiron 15, οι ερευνητές διαπίστωσαν ότι μπορούσαν να εγγράψουν ένα δακτυλικό αποτύπωμα μέσω Linux, το οποίο με τη σειρά του δεν θα έκανε χρήση του SDCP. Ενώ αποδεικνύεται ότι ο αισθητήρας αποθηκεύει δύο βάσεις δεδομένων δακτυλικών αποτυπωμάτων τόσο για Linux όσο και για Windows (επομένως διασφαλίζοντας ότι το SDCP χρησιμοποιείται μόνο στα Windows και ότι ο χρήστης δεν μπορεί να εγγραφεί σε Linux για σύνδεση στα Windows) είναι δυνατό να παρεμποδιστεί η σύνδεση μεταξύ αισθητήρα και κεντρικού υπολογιστή για να πει στον αισθητήρα να χρησιμοποιήσει τη βάση δεδομένων Linux, παρά την εκκίνηση του μηχανήματος σε Windows.

Όλα αυτά ήταν δυνατά χάρη σε ένα πακέτο χωρίς έλεγχο ταυτότητας που έλεγξε το εκκινημένο λειτουργικό σύστημα και μπορούσε να παραβιαστεί για να κατευθύνει στη βάση δεδομένων Linux. Απαιτούσε τη χρήση ενός Raspberry Pi 4 για την εγγραφή των χρηστών στη βάση δεδομένων Linux και τη μη αυτόματη σύνδεση με τον αισθητήρα, αλλά λειτούργησε και επέτρεψε στους ερευνητές να συνδεθούν στο σύστημα των Windows χρησιμοποιώντας οποιοδήποτε δακτυλικό αποτύπωμα, διατηρώντας παράλληλα το SDCP άθικτος.

Στην περίπτωση του Lenovo ThinkPad T14s, απαιτήθηκε η αντίστροφη μηχανική μιας προσαρμοσμένης στοίβας TLS που εξασφαλίζει την επικοινωνία μεταξύ του κεντρικού υπολογιστή και του αισθητήρα, παρακάμπτοντας εξ ολοκλήρου το SDCP. Το κλειδί που χρησιμοποιήθηκε για την κρυπτογράφηση αυτής της επικοινωνίας αποδείχθηκε ότι ήταν ένας συνδυασμός του προϊόντος του μηχανήματος όνομα και σειριακός αριθμός, και η εκμετάλλευση απλώς και μόνο επειδή είναι ένα «μηχανικό πρόβλημα» όπως έθεσαν οι ερευνητές το.

Μόλις το δακτυλικό αποτύπωμα του εισβολέα μπορούσε να εγγραφεί αναγκαστικά στη λίστα των έγκυρων αναγνωριστικών, ήταν δυνατή η εκκίνηση στα Windows και η χρήση του δακτυλικού αποτυπώματος του εισβολέα για να συνδεθείτε στο σύστημα.

Το χειρότερο και το πιο τρομακτικό από τα τρία προέρχεται από τον αισθητήρα δακτυλικών αποτυπωμάτων του Microsoft Surface Cover από την ELAN. Δεν υπάρχει SDCP, επικοινωνεί μέσω USB σε καθαρό κείμενο και δεν κάνει καμία προσπάθεια για τον έλεγχο ταυτότητας του χρήστη. Ο μόνος έλεγχος ελέγχου ταυτότητας που κάνει είναι ένας έλεγχος με το κεντρικό σύστημα για να δει αν ο αριθμός των εγγεγραμμένων δακτυλικών αποτυπωμάτων στον κεντρικό υπολογιστή ταιριάζει με τον αριθμό που έχει ο αισθητήρας. Αυτό μπορεί ακόμα να ξεπεραστεί εύκολα με έναν πλαστό αισθητήρα που ρωτά τον πραγματικό αισθητήρα πόσα δακτυλικά αποτυπώματα έχουν εγγραφεί.

Τι μπορείς να κάνεις?

Εάν διαθέτετε έναν από αυτούς τους φορητούς υπολογιστές που επηρεάζονται, να είστε βέβαιοι ότι είναι πολύ απίθανο να συμβεί σε εσάς τέτοια επίθεση. Πρόκειται για επιθέσεις υψηλής εξειδίκευσης που απαιτούν μεγάλη προσπάθεια από την πλευρά του εισβολέα και χρειάζονται επίσης φυσική πρόσβαση στον φορητό υπολογιστή σας. Εάν αυτό είναι πρόβλημα, τότε ο καλύτερος τρόπος για να προχωρήσετε είναι είτε να κάνετε αναβάθμιση σε έναν πιο ασφαλή φορητό υπολογιστή ή τουλάχιστον να απενεργοποιήσετε πλήρως το Windows Hello.

Ας ελπίσουμε ότι η απενεργοποίηση του Windows Hello θα είναι αρκετή, καθώς θα απαιτήσει τη μη αυτόματη σύνδεση και το σύστημα δεν θα περιμένει καθόλου αισθητήρα δακτυλικών αποτυπωμάτων να συνδεθεί. Εάν εξακολουθείτε να μην εμπιστεύεστε τον φορητό υπολογιστή σας, όμως, τότε η παραλαβή ενός νέου μπορεί να είναι καλή ιδέα.