Microsoft-ის Windows Hello თითის ანაბეჭდის ავთენტიფიკაცია გვერდის ავლით Dell, Lenovo და Surface ლეპტოპებზე

გასაღები Takeaways

• მკვლევარებმა მოახერხეს Windows Hello-ს გვერდის ავლით Dell-ის, Lenovo-სა და Microsoft-ის ლეპტოპებზე, რაც ხაზს უსვამს დაუცველობას თითის ანაბეჭდის სკანირების ტექნოლოგიაში.
• ამ ლეპტოპებზე თითის ანაბეჭდის სენსორები იყენებენ "Match on Chip" ტექნოლოგიას ბიომეტრიული გადამოწმების შესასრულებლად საკუთარ მიკროპროცესორებზე, მაგრამ ეს თავისთავად არ უშლის ხელს გაყალბების შეტევებს.
• Microsoft-ის უსაფრთხო მოწყობილობების დაცვის პროტოკოლი (SDCP) მიზნად ისახავს ამ დაუცველობის აღმოფხვრას, მაგრამ მკვლევარებმა დაადგინეს, რომ ზოგიერთი ლეპტოპები, მათ შორის Lenovo ThinkPad T14s და Microsoft Surface Type Cover, საერთოდ არ იყენებდნენ SDCP-ს, რაც მათ უფრო მგრძნობიარეს ხდის. თავდასხმები.

თუ გაქვთ ა Windows ლეპტოპი, მაშინ ალბათ შეგხვედრიათ Windows Hello. ეს არის ბიომეტრიული შესვლა, რომელიც მხარდაჭერილ ლეპტოპებზე საშუალებას აძლევს მომხმარებლებს შევიდნენ ან სახის სკანირებით, ირისის სკანირებით ან თითის ანაბეჭდის სკანირებით. ლეპტოპში თითის ანაბეჭდის გამოყენების შემთხვევაში, გაფრთხილდით: Blackwing HQ-ის მკვლევარებმა გვერდი აუარეს Windows Hello-ს სამ სხვადასხვა ლეპტოპზე Dell-ის, Lenovo-სა და Microsoft-ისგან.

გამოსვლისას Microsoft-ის BlueHat კონფერენციაზე რედმონდში, ვაშინგტონში, ჯესი დ'აგუანო და ტიმო ტერასი აჩვენა როგორ მოახერხეს Windows Hello-ს გვერდის ავლით Dell Inspiron 15-ზე, Lenovo ThinkPad T14-ზე და Microsoft Surface Pro Type Cover-ზე თითის ანაბეჭდის ID-ისთვის (Surface Pro 8/X-ისთვის). ეს ნიშნავს, რომ მათ შეძლეს წვდომა მომხმარებლის ანგარიშზე და მომხმარებლის მონაცემებზე, თითქოს ისინი ჩვეულებრივი მომხმარებელი ყოფილიყვნენ. გარდა ამისა, ამ სამ მოწყობილობაზე გამოყენებული სენსორები არის Goodix, Synaptics და ELAN შესაბამისად, რაც იმას ნიშნავს, რომ ეს დაუცველობა არ შემოიფარგლება მხოლოდ ერთი თითის ანაბეჭდის სკანერის მწარმოებლით ან ლეპტოპით OEM.

ემთხვევა ჩიპს, SDCP-ს და ლეპტოპის მწარმოებლებმა დაარღვიეს

უპირველეს ყოვლისა, აუცილებელია იმის გაგება, თუ როგორ მუშაობს ეს თითის ანაბეჭდის სკანერები და როგორ მუშაობს მასპინძელ სისტემასთან. სამივე თითის ანაბეჭდის სკანერი იყენებს "Match on Chip" (MoC) ტექნოლოგიას, რაც ნიშნავს, რომ ისინი აწყობენ საკუთარ მიკროპროცესორს და საცავს. თითის ანაბეჭდის ყველა შემოწმება ხორციელდება ამ ჩიპზე, მათ შორის შედარება "თითის ანაბეჭდის შაბლონების" მონაცემთა ბაზასთან; ბიომეტრიული მონაცემები, რომელსაც თითის ანაბეჭდის სენსორი იღებს. ეს უზრუნველყოფს, რომ მაშინაც კი, თუ მასპინძელი მანქანა დაზიანებულია (ამ შემთხვევაში, თავად ლეპტოპი), ბიომეტრიულ მონაცემებს საფრთხე არ ემუქრება.

MoC-ის კიდევ ერთი უპირატესობა ის არის, რომ ის ხელს უშლის თავდამსხმელს გაყალბებული სენსორის კომპრომეტირებას და ბიომეტრიული მონაცემების მასპინძელ სისტემაში გაგზავნას. თუმცა, ეს ხელს არ უშლის მავნე სენსორს, თითქოს ლეგიტიმური იყოს და სისტემას უთხრას, რომ მომხმარებელმა ავთენტიფიკაცია მოახდინა. მას ასევე არ შეუძლია თავიდან აიცილოს განმეორებითი შეტევები, სადაც თავდამსხმელი წყვეტს შესვლის მოქმედ მცდელობას და შემდეგ „გამეორებას“ უბრუნდება მასპინძელ სისტემაში. Windows Hello Advanced Sign-in Security (ESS) მოითხოვს MoC სენსორების გამოყენებას, მაგრამ თქვენ უკვე შეგიძლიათ ნახოთ მრავალი გზა, რომლითაც კრეატიული თავდამსხმელები შეიძლება შეეცადონ შეაღწიონ მომხმარებლის ლეპტოპში. სწორედ ამიტომ მაიკროსოფტმა შეიმუშავა SDCP, უსაფრთხო მოწყობილობების დაცვის პროტოკოლი.

SDCP-ს აქვს შემდეგი მიზნები:

1. დარწმუნდით, რომ თითის ანაბეჭდის მოწყობილობა სანდოა
2. დარწმუნდით, რომ თითის ანაბეჭდის მოწყობილობა ჯანმრთელია
3. თითის ანაბეჭდის მოწყობილობასა და ჰოსტს შორის შეყვანის დაცვა

SDCP არის დოქტრინა, რომელიც აცხადებს, თუ სისტემა იღებს ბიომეტრიულ შესვლას, მას შეუძლია ამის გაკეთება იმ ვარაუდით, რომ მოწყობილობის მფლობელი ფიზიკურად იმყოფებოდა შესვლის დროს. ფუნქციონირებს ნდობის ჯაჭვზე, ის მიზნად ისახავს უპასუხოს შემდეგ კითხვებს გამოყენებული სენსორის შესახებ:

1. შეუძლია მასპინძელს ენდოს, რომ ის საუბრობს ნამდვილ მოწყობილობაზე?
2. შეუძლია მასპინძელს ენდოს, რომ მოწყობილობა არ არის გატეხილი ან შეცვლილი?
3. დაცულია თუ არა მოწყობილობიდან მიღებული მონაცემები?

სწორედ ამიტომ SDCP ქმნის ბოლომდე არხს ჰოსტსა და თითის ანაბეჭდის სენსორს შორის. ეს იყენებს Secure Boot-ს, რომელიც უზრუნველყოფს მოდელის სპეციფიკური სერთიფიკატის და პირადი გასაღების როლს ნდობის ჯაჭვად, რათა შეამოწმოს, რომ ყველა კომუნიკაცია ხელუხლებელია. კომპრომეტირებული პროგრამული უზრუნველყოფის გამოყენება მაინც შეიძლება, მაგრამ სისტემამ იცის, რომ ის კომპრომეტირებულია და შეცვლილია და მკვლევარებმა აღნიშნეს, რომ ყველა ტესტირებული მოწყობილობა ასევე ხელს აწერს მათ პროგრამულ უზრუნველყოფას, რათა თავიდან იქნას აცილებული გაყალბება.

ყოველივე ზემოთქმული კარგად ჟღერს და SDCP, როგორც კონცეფცია, უსაფრთხოების შესანიშნავი ფუნქციაა, რომელიც OEM-ებმა უნდა გამოიყენონ. შედეგად, მკვლევრებისთვის მოულოდნელი იყო, როდესაც Lenovo ThinkPad T14s-მა და Microsoft Surface Type Cover-მა საერთოდ არ გამოიყენეს SDCP.

ციტატა მკვლევარები Blackwing HQ-დან:

„Microsoft-მა კარგად შეასრულა SDCP-ის დიზაინი, რათა უზრუნველყოს უსაფრთხო არხი მასპინძელ და ბიომეტრიულ მოწყობილობებს შორის, მაგრამ, სამწუხაროდ, მოწყობილობის მწარმოებლებს, როგორც ჩანს, არასწორად ესმით ზოგიერთი მიზანი. გარდა ამისა, SDCP მოიცავს მხოლოდ ტიპიური მოწყობილობის მოქმედების ძალიან ვიწრო ფარგლებს, მაშინ როდესაც მოწყობილობების უმეტესობას აქვს საკმაოდ დიდი შეტევის ზედაპირი, რომელიც საერთოდ არ არის დაფარული SDCP-ით.

დაბოლოს, ჩვენ აღმოვაჩინეთ, რომ SDCP არც კი იყო ჩართული სამიდან ორ მოწყობილობაზე, რომელსაც ჩვენ ვმიზნობდით. ”

თავდასხმა Dell-ზე, Lenovo-სა და Surface-ზე

Dell Inspiron 15-ის შემთხვევაში, მკვლევარებმა დაადგინეს, რომ მათ შეეძლოთ დაეწერათ თითის ანაბეჭდი Linux-ის საშუალებით, რაც თავის მხრივ არ გამოიყენებდა SDCP-ს. მიუხედავად იმისა, რომ ირკვევა, რომ სენსორი ინახავს თითის ანაბეჭდების ორ მონაცემთა ბაზას როგორც Linux-ისთვის, ასევე Windows-ისთვის (აქედან გამომდინარე, რომ SDCP გამოიყენება მხოლოდ Windows-ზე და მომხმარებელი ვერ დარეგისტრირდება Linux-ში შესვლა Windows-ზე) შესაძლებელია სენსორსა და ჰოსტს შორის კავშირის შეწყვეტა, რათა სენსორს უთხრას გამოიყენოს Linux მონაცემთა ბაზა, მიუხედავად იმისა, რომ მანქანა ჩატვირთულია. ფანჯრები.

ეს ყველაფერი შესაძლებელი იყო არაავთენტიფიცირებული პაკეტის წყალობით, რომელიც ამოწმებდა ჩატვირთულ ოპერაციულ სისტემას და შეიძლებოდა მისი გატაცება Linux-ის მონაცემთა ბაზაზე მითითებით. საჭირო იყო Raspberry Pi 4-ის გამოყენება Linux-ის მონაცემთა ბაზაში მომხმარებლების ჩარიცხვისა და სენსორთან ხელით დასაკავშირებლად, მაგრამ მუშაობდა და მკვლევარებს საშუალება მისცა შესულიყვნენ Windows სისტემაში ნებისმიერი თითის ანაბეჭდის გამოყენებისას, SDCP-ის შენარჩუნებისას ხელუხლებელი.

Lenovo ThinkPad T14s-ის შემთხვევაში, საჭირო იყო მორგებული TLS სტეკის საპირისპირო ინჟინერია, რომელიც უზრუნველყოფდა კომუნიკაციას ჰოსტსა და სენსორს შორის, SDCP-ის მთლიანად გამოტოვებით. გასაღები, რომელიც გამოიყენებოდა ამ კომუნიკაციის დაშიფვრისთვის, აღმოჩნდა, რომ იყო აპარატის პროდუქტის კომბინაცია სახელი და სერიული ნომერი და ექსპლუატაცია უბრალოდ „საინჟინრო პრობლემის“ გამო, როგორც მკვლევარებმა განაცხადეს ის.

მას შემდეგ, რაც თავდამსხმელის თითის ანაბეჭდის იძულებით ჩაწერა შესაძლებელი გახდა მოქმედი ID-ების სიაში, შესაძლებელი გახდა Windows-ში ჩატვირთვა და სისტემაში შესასვლელად თავდამსხმელის თითის ანაბეჭდის გამოყენება.

ამ სამიდან ყველაზე უარესი და საზარელი მოდის Microsoft Surface Cover-ის თითის ანაბეჭდის სენსორიდან ELAN-ის მიერ. არ არსებობს SDCP, ის კომუნიკაციას უწევს USB-ზე მკაფიო ტექსტით და არ აკეთებს ძალისხმევას მომხმარებლის ავთენტიფიკაციისთვის. ერთადერთი ავთენტიფიკაციის შემოწმება, რომელსაც აკეთებს, არის შემოწმება მასპინძელ სისტემასთან, რათა ნახოთ, ემთხვევა თუ არა ჰოსტზე დარეგისტრირებული თითის ანაბეჭდების რაოდენობა სენსორის რაოდენობას. ამის გამოსწორება მაინც შესაძლებელია გაყალბებული სენსორის საშუალებით, რომელიც ეკითხება რეალურ სენსორს რამდენი თითის ანაბეჭდია ჩაწერილი.

Რა შეგიძლია?

თუ თქვენ ფლობთ ერთ-ერთ ამ დაზიანებულ ლეპტოპს, დარწმუნებული იყავით, რომ ნაკლებად სავარაუდოა, რომ მსგავსი შეტევა შეგემთხვათ. ეს არის უაღრესად სპეციალიზებული შეტევები, რომლებიც მოითხოვს დიდ ძალისხმევას თავდამსხმელის მხრიდან და მათ ასევე სჭირდებათ ფიზიკური წვდომა თქვენს ლეპტოპზე. თუ ეს პრობლემაა, მაშინ საუკეთესო გზაა ან განაახლოთ უფრო უსაფრთხო ლეპტოპზე ან თუნდაც მთლიანად გამორთოთ Windows Hello.

Windows Hello-ის გამორთვა, იმედია, საკმარისი უნდა იყოს, რადგან ის მოითხოვს თქვენგან ხელით შესვლას და სისტემა საერთოდ არ ელოდება თითის ანაბეჭდის სენსორს შესვლას. თუ ჯერ კიდევ არ ენდობით თქვენს ლეპტოპს, მაშინ ახლის აყვანა შეიძლება კარგი იდეა იყოს.