Windows Hello vingerafdrukscanners zijn gehackt: Moet je ze nog steeds gebruiken?
Inloggen op een Windows-laptop met een vingerafdrukscanner is eenvoudig; plaats je vinger op een scanner en het besturingssysteem laat je binnen. Onderzoekers hebben echter aangetoond dat deze methode handig is, maar niet hackproof.
Er zijn namelijk verschillende manieren waarop mensen een Windows Hello vingerafdrukscanner kunnen omzeilen, wat vragen oproept over de doeltreffendheid ervan als beveiligingsmaatregel.
Kunnen mensen Windows Hello vingerafdrukscanners hacken?
Om het biometrische authenticatiemechanisme te omzeilen dat door het Windows-besturingssysteem wordt gebruikt om gebruikers aan te melden, met inbegrip van persoonlijke identificatienummers (PIN’s), gezichtsherkenning en vingerafdrukverificatie, probeert een individu de beveiligingsmaatregelen van een Windows-gebaseerd apparaat te omzeilen door de bescherming van de Windows Hello-service te omzeilen.
Als onderdeel van het onderzoek naar de kracht van Windows Hello hebben twee white-hat hackers , Jesse D’Aguanno en Timo Teräs, een rapport op hun website geplaatst, Blackwing HQ . Het rapport beschrijft hoe ze drie populaire apparaten hebben gekraakt: de Dell Inspiron 15, Lenovo ThinkPad T14 en de Microsoft Surface Pro Type Cover.
Hoe de hackers Windows Hello op de Dell Inspiron 15 hebben gekraakt
Bij onderzoek van de Dell Inspiron 15 ontdekte de hackgemeenschap dat het mogelijk was om een Linux-besturingssysteem op het apparaat te starten. Na succesvol inloggen op dit alternatieve platform, konden gebruikers hun unieke biometrische kenmerken registreren in het systeem, waardoor ze vervolgens hetzelfde identificatienummer kregen als het opgegeven Windows-account waartoe ze toegang wilden krijgen.
Vervolgens voert iemand een man-in-the-middle aanval uit op de communicatieverbinding tussen de personal computer en de sensor. De opstelling is zo gemaakt dat wanneer Microsoft probeert te bevestigen of een gescande vingerafdruk authentiek is, het uiteindelijk de Linux database met vingerafdrukken raadpleegt in plaats van zijn eigen database.
Om de beveiligingsmaatregelen van Windows Hello te omzeilen, gebruikten cybercriminelen een methode waarbij ze zich de vingerafdrukgegevens toe-eigenden die in een Linux-gebaseerd systeem waren opgeslagen. Door de identieke identifier te uploaden en toe te wijzen aan een gebruikersaccount op Windows, probeerden de aanvallers ongeautoriseerde toegang te krijgen door middel van biometrische authenticatie. Daarbij manipuleerden ze het netwerkverkeer tijdens het aanmeldingsproces door pakketten naar de Linux database te leiden in plaats van naar de legitieme Windows bron.Dit maakte het mogelijk om valselijk te beweren dat de persoon met het specifieke identificatienummer bereid was om in te loggen, waardoor de beveiligingsmaatregel uiteindelijk werd omzeild.
Hoe de hackers inbraken op Windows Hello op de Lenovo ThinkPad T14
Bij onderzoek van de Lenovo ThinkPad ontdekten de cybercriminelen dat het apparaat een exclusieve versleutelingstechniek gebruikte voor biometrische authenticatie. Door ijverig te werk te gaan, slaagden de aanvallers erin dit systeem te ontsleutelen en zo toegang te krijgen tot het mechanisme dat verantwoordelijk is voor het verifiëren van de identificatie van de vingerafdruk.
Na succesvolle afronding van het proces konden de cybercriminelen de vingerafdrukdatabase zo manipuleren dat deze hun biometrische gegevens als authentiek zou herkennen. Daarna hoefden ze alleen nog maar een nieuwe scan van hun vingerafdruk te maken om toegang te krijgen tot het Lenovo ThinkPad-apparaat.
Hoe de hackers Windows Hello op de Microsoft Surface Pro Type Cover wisten te kraken
De aanvankelijke verwachting van de hackers was dat de Surface Pro de meest formidabele uitdaging van alle apparaten zou vormen; hun verrassing lag echter in het ontdekken van het ontbreken van robuuste beveiligingsprotocollen voor het verifiëren van legitieme vingerafdrukken op de Surface Pro. Het bleek inderdaad dat door het omzeilen van één verdedigingslinie en door de Surface Pro op bedrieglijke wijze aan te geven dat de vingerafdrukscan met succes was uitgevoerd, gemakkelijk toegang tot het apparaat werd verleend.
Wat betekenen deze hacks voor jou?
Hoewel de potentiële risico’s verbonden aan het gebruik van vingerafdrukherkenningstechnologie om toegang te krijgen tot je laptop ontmoedigend kunnen lijken, is het belangrijk om een aantal kritieke factoren in gedachten te houden voordat deze authenticatiemethode volledig wordt afgeschaft.
De aanvallen werden uitgevoerd door bekwame hackers
Ransomware-as-a-service (RaaS) vormt een aanzienlijke bedreiging omdat het toegankelijk is voor personen met beperkte kennis van cyberbeveiliging. Voor meer geavanceerde aanvallen, zoals aanvallen waarbij de authenticatie van apparaten wordt omzeild door middel van biometrische identificatie, is echter een hogere mate van technische vaardigheid vereist.
De aanvallen vereisen fysieke interactie van de aanvaller met het apparaat
Om de bovengenoemde cyberaanvallen te kunnen uitvoeren, is directe fysieke interactie met het doelapparaat noodzakelijk. Volgens de onderzoeksbevindingen is het weliswaar haalbaar om USB-apparaten te ontwikkelen die de aanvallen bij aansluiting kunnen starten, maar voor een dergelijke aanpak zou een kwaadwillende een extern apparaat in iemands computersysteem moeten plaatsen, wat een aanzienlijk veiligheidsrisico met zich meebrengt.
De aanvallen werken alleen op specifieke apparaten
Het moet erkend worden dat voor het succesvol uitvoeren van een aanval verschillende benaderingen nodig zijn om hetzelfde doel te bereiken. Elk apparaat heeft zijn eigen kenmerken, waardoor een tactiek die effectief is op het ene apparaat niet effectief is op het andere. Daarom zou het onvoorzichtig zijn om aan te nemen dat Windows Hello op alle apparaten volledig is gecompromitteerd; deze beoordeling heeft uitsluitend betrekking op de drie gevallen waarin de exploit niet succesvol was.
Hoewel deze exploits formidabel lijken, is het bijzonder moeilijk om ze succesvol uit te voeren op echte apparaten. In de meeste gevallen moet een aanvaller fysiek bezit nemen van de beoogde hardware om dergelijke manoeuvres uit te voeren, een actie die zonder twijfel zou leiden tot een melding van de oorspronkelijke eigenaar.
Hoe blijf je veilig voor vingerafdrukhacking
Zoals eerder vermeld, gaan de bovengenoemde beveiligingsinbreuken gepaard met ingewikkelde procedures waarvoor vaak directe fysieke toegang tot het apparaat in kwestie nodig is, waardoor de kans dat dergelijke incidenten zich tegen individuele gebruikers richten aanzienlijk kleiner wordt.
In het geval dat ontevredenheid blijft bestaan, kunnen bepaalde maatregelen worden genomen om zichzelf te beschermen tegen mogelijke inbreuken op de vingerafdrukscantechnologie:
Laat apparaten niet onbeheerd en onbeveiligd achter
Om ongeautoriseerde toegang tot je apparaat door hackers die fysieke interactie vereisen te voorkomen, is het belangrijk om je te beschermen tegen de mogelijkheid van diefstal of zoekraken. Met betrekking tot laptops in het bijzonder, kunnen maatregelen zoals het niet onbeheerd achterlaten van het apparaat in openbare ruimtes en het gebruik van beveiligde anti-diefstal tassen potentiële dieven ervan weerhouden te proberen de apparatuur te stelen of ermee te knoeien.
Gebruik een andere aanmeldingsmethode
Windows Hello biedt een groot aantal verificatieopties, variërend van relatief minder veilige tot zeer veilige opties. Mocht uw enthousiasme voor biometrische identificatie, zoals vingerafdrukherkenning, afnemen, dan kan het de moeite waard zijn om alternatieve manieren van aanmelden te verkennen, waaronder gezichtsherkenning, irisscan, vingerafdrukverificatie, invoer van een persoonlijk identificatienummer (PIN) of invoer van een alfanumerieke wachtwoordcode, en te kiezen voor de methode die het meest overeenkomt met uw voorkeuren en beveiligingseisen.
Het is belangrijk om te beseffen dat de kans dat cybercriminelen het doelwit worden van deze beveiligingsinbreuken relatief klein is.Daarom kan het gebruik van biometrische authenticatiemaatregelen, zoals het scannen van vingerafdrukken, over het algemeen als veilig worden beschouwd. Toch is het raadzaam om voorzichtig te zijn en persoonlijke apparaten niet onbeheerd of kwetsbaar voor diefstal achter te laten.