È stato bypassato il sistema di autenticazione con impronte digitali “Windows Hello” che permette di accedere in modo rapido a PC con Windows 10 e 11 o, meglio, è stato aggirato il meccanismo che, sfruttando la tecnologia integrata in Windows, permette di sfruttare il riconoscimento dell’impronta digitale.
Lo riferisce il sito statunitense The Verge spiegando che alcuni ricercatori hanno individuato vulnerabilità che permettono di bypassare il riconoscimento delle impronte sui computer portatili di Dell, Lenovo e anche della stessa Microsoft.
Le vulnerabilità sono state riferite da ricercatori di Blackwing Intelligence specializzati in sicurezza, individuate in tre diverse tipologie di sensori per le impronte digitali, presenti su notebook di varie marche di PC con Windows che permettono di sfruttare l’autenticazione Windows Hello nelle Opzioni di accesso.
L’Offensive Research and Security Engineering (MORSE) di Microsoft ha chiesto a Blackwing Intelligence di valutare la sicurezza dei sensori di impronte e da uno studio sono emerse vulnerabilità presentate nell’ambito della conferenza BlueHat di Microsoft a ottobre.
Il team di ricercatori ha individuato vulnerabilità in sensori di impronte digitali di Goodix, Synaptics ed ELAN e in un dettagliato post sul blog aziendale riferiscono della possibilità di usare un dispositivo USB per portare a termine un attacco di tipo man-in-the-middle e ottenere accesso a un laptop rubato o non presidiato.
Come macchine di prova sono stati usati un Dell Inspiron 15, un Lenovo ThinkPad T14 e un Microsoft Surface Pro X, tutti con Windows Hello attivo, sistemi bypassati senza problemi dai ricercatori.
I ricercatori di Blackwing Intelligence hanno sfruttato tecniche di reverse engineering per ricostruire il funzionamento di hardware e software legato ai sensori, riuscendo a bypassare le protezioni. Sono state individuate falle nelle implementazioni di sicurezza e di crittografia, e il complicato procedimento di bypass ha richiesto la decodifica e la reimplementazione di protocolli proprietari.
Secondo dati di Microsoft che risalgono a tre anni addietro, Windows Hello è sfruttato sull’85% dei portatili al posto delle password. Non è ad ogni modo la prima volta che nel sistema di accesso sicuro tramite impronta digitale o riconoscimento del volto di Microsoft vengono individuate falle: era già successo nel 2021 e la multinazionale di Redmond era dovuta ricorrere ai ripari con un fix specifico.
Non è chiaro se per la falla scoperta ora sia in qualche modo possibile porre rimedio. “Microsoft ha fatto un buon lavoro progettando il Secure Device Connection Protocol (SDCP) per fornire un canale sicuro tra l’host e i dispositivi biometrici, ma sfortunatamente i produttori di dispositivi sembrano fraintendere alcuni degli obiettivi”, riferiscono Jesse D’Aguanno e Timo Teräs, ricercatori di Blackwing Intelligence.
“L’SDCP copre un ambito molto ristretto del funzionamento tipico di un dispositivo, mentre la maggior parte dei dispositivi ha una superficie di attacco considerevole esposta che non è affatto coperta dall’SDCP”. Blackwing Intelligence sta intanto cercando di individuare falle in altri sensori simili di dispositivi Linux e Apple.
Per tutte le notizie che trattano di sicurezza informatica rimandiamo i lettori alla sezione dedicata di macitynet.
