“Windows Hello”, il meccanismo che consente di accedere ad alcuni dispositivi Windows 10 con il volto (senza bisogno di digitare una password) può essere ingannato usando una semplice fotografia.
Microsoft, scrive il sito BleepingComputer, all’inizio di questo mese ha rilasciato un aggiornamento per risolvere la vulnerabilità in questione che poteva consentire a malintenzionati di bypassare la scansione usando una foto stampata con il volto dell’utente da attaccare.
Sui dispositivi supportati, Windows Hello sfrutta per il riconoscimento facciale una fotocamera a infrarossi; la funzionalità di accesso al sistema con tale meccanismo di autenticazione non si è molto diffusa poiché non tutti hanno integrato l’hardware necessario.
L’azienda tedesca SySS GmbH ha ad ogni modo scoperto che Windows Hello è vulnerabile con il semplice e banale sistema della foto collocata davanti alla fotocamera. I ricercatori hanno utilizzato come esempio la foto dell’amministratore del PC, riprodotta con una stampante laser a bassa risoluzione (340×340 pixel), modificata tenendo conto dello spettro dell’infrarosso e dimostrando la possibilità di ottenere accesso senza problemi su vari dispositivi con Windows e Windows Hello attivo.
L’attacco è possibile anche se l’utente ha attivato l’opzione avanzata di anti-spoofing nei dispositivi che la supportano (una funzione che, in teoria, dovrebbe garantire un migliore livello di prestazioni e protezione e distinguere tra una fotografia e una persona reale quando è eseguita la scansione delle caratteristiche del viso dell’utente).
I ricercatori di SySS fanno sapere che Microsoft ha distribuito la patch solo per le build 1703 e 1709 di Windows 10 ma non ancora per le build 16xx. Simili meccanismi per aggirare le protezioni sono stati dimostrati in altre occasioni anche per ingannare sui Galaxy S8 la scansione dell’iride, protezione indicata da Samsung come in grado di garantire la massima sicurezza.
Face ID, la tecnologia di riconoscimento dei volti di Apple, proietta e analizza più di 30.000 punti invisibili per creare una mappa accurata (in 3D) del volto dell’utente. Il sistema è progettato per distinguere il volto da una foto o una maschera ma con molta pazienza e tempo a disposizione non è mancato chi è riuscito a creare complesse maschere con le quali, teoricamente, è possibile sbloccare anche iPhone X.
