Windows Hello fingeravtrycksläsare hackades: Bör du fortfarande använda dem?
Att logga in på en bärbar Windows-dator med fingeravtrycksläsare är enkelt; placera bara fingret på en läsare så släpper operativsystemet in dig. Forskare har dock visat att även om denna metod är bekväm så är den inte hackersäker.
Det finns faktiskt olika metoder för att kringgå en Windows Hello fingeravtrycksläsare, vilket väcker frågor om dess effektivitet som säkerhetsåtgärd.
Kan människor hacka Windows Hello fingeravtrycksläsare?
För att kringgå den biometriska autentiseringsmekanism som används av Windows operativsystem för användarinloggning, inklusive personliga identifieringsnummer (PIN), ansiktsigenkänning och fingeravtrycksverifiering, försöker en individ som försöker bryta mot säkerhetsåtgärderna för en Windows-baserad enhet att kringgå det skydd som ges av Windows Hello-tjänsten.
Som en del av undersökningen av Windows Hello:s styrka publicerade två hackare med vit hatt, Jesse D’Aguanno och Timo Teräs, en rapport på sin webbplats, Blackwing HQ . Rapporten beskriver hur de tog sig in i tre populära enheter: Dell Inspiron 15, Lenovo ThinkPad T14 och Microsoft Surface Pro Type Cover.
Hur hackarna bröt sig in i Windows Hello på Dell Inspiron 15
Vid undersökningen av Dell Inspiron 15 upptäckte hackarna att det var möjligt att initiera ett Linux-operativsystem på enheten. Efter en lyckad inloggning på denna alternativa plattform kunde användarna registrera sina unika biometriska identifierare i systemet och därefter tilldela dem det identiska identifieringsnumret som det angivna Windows-kontot de hade för avsikt att komma åt.
Därefter utför en person ett man-in-the-middle-angrepp på den kommunikationslänk som förbinder persondatorn och sensorn. Installationen är gjord på ett sådant sätt att när Microsoft försöker bekräfta om ett skannat fingeravtryck är äkta, används Linux databas med fingeravtryck i stället för Microsofts egen databas.
För att kringgå säkerhetsåtgärderna i Windows Hello använde cyberbrottslingar en metod som innebar förskingring av fingeravtrycksdata som lagrats i ett Linux-baserat system. Genom att ladda upp och tilldela den identiska identifieraren till en användares konto på Windows försökte angriparna få obehörig åtkomst genom användning av biometrisk autentisering. På så sätt manipulerade de nätverkstrafiken under inloggningsprocessen och styrde paket till Linux-databasen istället för till den legitima Windows-källan.Detta möjliggjorde ett falskt påstående om att den person som var associerad med det specifika identifikationsnumret var beredd att logga in, vilket i slutändan kringgick säkerhetsåtgärden.
Hur hackarna bröt mot Windows Hello på Lenovo ThinkPad T14
Vid undersökningen av Lenovo ThinkPad upptäckte cyberbrottslingarna att enheten använde en exklusiv krypteringsteknik för biometrisk autentisering. Genom idogt arbete kunde angriparna dekryptera detta system och därigenom få tillgång till den mekanism som ansvarar för att verifiera fingeravtrycksidentifiering.
När processen hade slutförts kunde cyberbrottslingarna manipulera fingeravtrycksdatabasen så att den skulle känna igen deras biometriska data som autentiska. Därefter behövde de bara göra en ny skanning av sitt fingeravtryck för att komma in i Lenovo ThinkPad-enheten.
Hur hackarna bröt Windows Hello på Microsoft Surface Pro Type Cover
Hackarens ursprungliga förväntan var att Surface Pro skulle utgöra den mest formidabla utmaningen bland alla enheter; deras överraskning låg dock i att upptäcka en frånvaro av robusta säkerhetsprotokoll för att verifiera legitima fingeravtryck på Surface Pro. Det visade sig att genom att kringgå en enda försvarslinje och på ett bedrägligt sätt indikera för Surface Pro att fingeravtrycksläsningen hade lyckats, kunde man enkelt få åtkomst till enheten.
Vad innebär dessa hack för dig?
Även om de potentiella riskerna med att använda fingeravtrycksteknik för att komma åt sin bärbara dator kan verka avskräckande, är det viktigt att komma ihåg flera kritiska faktorer innan man helt överger denna autentiseringsmetod.
Attackerna utfördes av skickliga hackare
Ransomware-as-a-service (RaaS) utgör ett betydande hot på grund av dess tillgänglighet för personer med begränsad kunskap om cybersäkerhet. Mer avancerade attacker, t.ex. att kringgå autentisering av enheter genom biometrisk identifiering, kräver dock en högre grad av teknisk kompetens.
Attackerna kräver att angriparen fysiskt interagerar med enheten
För att de ovan nämnda cyberattackerna ska kunna utföras krävs direkt fysisk interaktion med den berörda enheten. Enligt undersökningsresultaten kan det visserligen vara möjligt att utveckla USB-enheter som kan initiera attackerna vid anslutning, men ett sådant tillvägagångssätt skulle kräva att en skadlig aktör för in en extern enhet i ens datorsystem, vilket skulle utgöra en betydande säkerhetsrisk.
Angreppen fungerar endast på specifika enheter
Man bör vara medveten om att det krävs olika tillvägagångssätt för att uppnå ett identiskt mål för att lyckas med ett angrepp. Varje enhet har sina egna särdrag, vilket gör att en taktik som är effektiv i ett instrument blir ineffektiv i ett annat. Följaktligen skulle det vara oförsiktigt att anta att Windows Hello har utsatts för omfattande kompromisser på alla enheter; snarare gäller denna bedömning uteslutande de tre fall där utnyttjandet misslyckades.
Även om dessa exploits kan verka formidabla, kan det vara mycket svårt att framgångsrikt utföra dem på verkliga enheter. I de flesta fall måste en angripare fysiskt ta den aktuella hårdvaran i besittning för att kunna utföra sådana manövrar, en åtgärd som utan tvekan skulle utlösa ett meddelande från den ursprungliga ägaren.
Hur man skyddar sig mot fingeravtryckshackning
Som tidigare nämnts innebär de ovannämnda säkerhetsöverträdelserna komplicerade förfaranden som ofta kräver direkt fysisk åtkomst till enheten i fråga, vilket avsevärt minskar sannolikheten för att sådana incidenter riktas mot enskilda användare.
Om missnöjet kvarstår kan vissa åtgärder vidtas för att skydda sig mot potentiella brott mot fingeravtrycksläsningstekniken:
Lämna inte enheter obevakade och oskyddade
För att förhindra obehörig åtkomst till din enhet av hackare som kräver fysisk interaktion är det viktigt att skydda sig mot risken för stöld eller felplacering. När det gäller bärbara datorer kan åtgärder som att inte lämna enheten obevakad på allmänna platser och att använda säkra stöldskyddsväskor bidra till att avskräcka potentiella tjuvar från att försöka stjäla eller mixtra med utrustningen.
Använd en annan inloggningsmetod
Windows Hello erbjuder en mängd olika autentiseringsalternativ, allt från relativt mindre säkra till mycket säkra. Om din entusiasm för biometrisk identifiering avtar, t.ex. fingeravtrycksigenkänning, kan det vara värt att utforska alternativa sätt att logga in, inklusive ansiktsigenkänning, irisskanning, fingeravtrycksverifiering, PIN-inmatning eller alfanumerisk lösenkod, och välja den metod som bäst överensstämmer med dina preferenser och säkerhetskrav.
Det är viktigt att inse att sannolikheten för att bli utsatt för cyberbrottslighet i samband med dessa säkerhetsöverträdelser är relativt minimal.Följaktligen kan användning av biometriska autentiseringsmetoder, såsom fingeravtrycksläsning, i allmänhet anses vara säkert. Det är ändå tillrådligt att vara försiktig och undvika att lämna personliga enheter obevakade eller utsatta för stöld.