Start Microsoft Microsoft gibt Ratschläge, nachdem Hacker die Windows Hello-Sicherheit umgehen

Microsoft gibt Ratschläge, nachdem Hacker die Windows Hello-Sicherheit umgehen

3
0


Windows Hallo

Sicherheitsforscher haben gezeigt, dass es möglich ist, die biometrische Sicherheit von Windows Hello zu umgehen. Mithilfe eines gefälschten Webs konnte das Forschungsteam von CyberArk Labs die Gesichtserkennungskomponente von Windows Hello täuschen, um Infrarotbilder zu senden.

Windows Hello erfordert eine Kamera mit RGB- und IR-Sensoren, aber das Sicherheitstool verwendet eigentlich nur IR-Bilder. Mithilfe eines benutzerdefinierten USB-Geräts können Hacker den gesendeten Datenstrom manipulieren und IR-Bilder eines autorisierten Benutzers injizieren.

Siehe auch:

Omer Tsarfati von CyberArk erklärt, dass es relativ einfach ist, ein IR-Bild eines „Ziels“ zu erhalten. Dies kann entweder durch die Verwendung einer dedizierten IR-Kamera zum Aufnehmen eines Fotos aus der Ferne oder durch die Umwandlung eines regulären RGB-Bildes in ein IR-Bild erreicht werden. Bewaffnet mit diesem Image und der nötigen Hardware ist der Hack einfach auszuführen.

CyberArk sagt:

Um dies zu überprüfen, haben wir ein Experiment durchgeführt, bei dem wir ein benutzerdefiniertes USB-Gerät erstellt haben, das als USB-Kamera mit IR- und RGB-Sensoren fungiert. Dazu haben wir ein Evaluation Board von NXP verwendet. Mit dieser neuen benutzerdefinierten USB-Kamera haben wir gültige IR-Frames unserer „Zielperson“ übertragen, während die von uns gesendeten RGB-Frames Bilder von SpongeBob waren, und zu unserer Überraschung funktionierte es!

Die Forscher stellten fest:

Anscheinend brauchen wir nur einer IR-Rahmen und ein komplett schwarzer Rahmen. Als wir versuchten, nur einen gültigen IR-Frame im Puffer zu senden, akzeptierte Windows Hello unsere Eingabe nicht als gültig, aber als wir sowohl den schwarzen Frame als auch den gesendeten richtig IR-Frame, wir sind reingekommen. Wir denken, dass es einen „Liveness“ / Anti-Spoofing-Mechanismus gibt, der nach Änderungen zwischen jeweils zwei Frames sucht, die hintereinander kommen.

In seinem Beitrag stellt Omer Tsarfati fest, dass es zwar derzeit keine Hinweise darauf gibt, dass die Sicherheitsanfälligkeit ausgenutzt wurde, es sich jedoch um einen bestehenden Angriffsvektor handelt:

Die Schwachstelle ermöglicht es einem Angreifer mit physischem Zugriff auf das Gerät, den Authentifizierungsprozess zu manipulieren, indem er ein Foto des Gesichts des Ziels aufnimmt oder neu erstellt und anschließend ein speziell angefertigtes USB-Gerät anschließt, um die gefälschten Bilder an den authentifizierenden Host zu injizieren. Wir haben keine Beweise dafür, dass dieser Angriff in freier Wildbahn verwendet wurde, aber er könnte von einem motivierten Angreifer verwendet werden, um beispielsweise einen Forscher, Wissenschaftler, Journalisten, Aktivisten oder privilegierten Benutzer mit sensibler IP auf seinem Gerät anzugreifen.

Microsoft hat auf die Ergebnisse reagiert und gesagt:

Microsoft hat am 13. Juli ein Sicherheitsupdate veröffentlicht, das dieses Problem behebt. Weitere Informationen finden Sie in CVE-2021-34466:

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-34466

Darüber hinaus sind Kunden mit der erweiterten Windows Hello-Anmeldesicherheit vor solchen Angriffen geschützt, die die Biometrie-Pipeline manipulieren.

Enhanced Sign-in Security ist eine neue Sicherheitsfunktion in Windows, die spezielle Hardware, Treiber und Firmware erfordert, die von den Geräteherstellern werkseitig auf dem System vorinstalliert werden. Bitte wenden Sie sich an Ihren Gerätehersteller, um den Status der verbesserten Anmeldesicherheit auf Ihrem Gerät zu erfahren.

https://docs.microsoft.com/en-us/windows-hardware/design/device-experiences/windows-hello-enhanced-sign-in-security

CyberArk weist darauf hin, dass die Abschwächung den Einsatz einer bestimmten Kamera erfordert und sagt, dass seine Untersuchungen fortgesetzt werden.

Ausführliche Informationen zu den Ergebnissen, einschließlich eines Proof-of-Concept-Videos, sind auf der Website verfügbar CyberArk-Website. Das Unternehmen sagt, dass es seine Entdeckung vom 4. bis 5. August 2021 auf der Black Hat 2021 vorstellen wird.

Bildnachweis: ymdeutsch / Shutterstock



Vorheriger ArtikelMulti-Cloud-Strategien werden die Unternehmens-IT dominieren
Nächster ArtikelIntel veröffentlicht aktualisierten Grafiktreiber mit Windows 11-Unterstützung

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein