Máy quét vân tay Windows Hello đã bị hack: Bạn có nên tiếp tục sử dụng chúng không?

Đăng nhập vào máy tính xách tay Windows bằng máy quét dấu vân tay thật dễ dàng; chỉ cần đặt ngón tay của bạn lên máy quét và hệ điều hành sẽ cho phép bạn truy cập. Tuy nhiên, các nhà nghiên cứu đã chỉ ra rằng, mặc dù phương pháp này tiện lợi nhưng nó không có khả năng chống hack.

Thật vậy, có nhiều phương pháp khác nhau mà qua đó các cá nhân có thể bỏ qua máy quét dấu vân tay Windows Hello, đặt ra câu hỏi về tính hiệu quả của nó như một biện pháp bảo mật.

Mọi người có thể hack máy quét vân tay Windows Hello không?

Để trốn tránh cơ chế xác thực sinh trắc học được hệ điều hành Windows sử dụng cho mục đích đăng nhập của người dùng, bao gồm số nhận dạng cá nhân (PIN), nhận dạng khuôn mặt và xác minh dấu vân tay, một cá nhân cố gắng vi phạm các biện pháp bảo mật của thiết bị chạy Windows đang cố gắng phá vỡ cơ chế xác thực sinh trắc học này. sự bảo vệ được cung cấp bởi dịch vụ Windows Hello.

Là một phần của nghiên cứu về sức mạnh của Windows Hello, hai hacker mũ trắng , Jesse D’Aguanno và Timo Teräs, đã đăng một báo cáo trên trang web của họ, Blackwing HQ. Báo cáo nêu chi tiết cách họ xâm nhập vào ba thiết bị phổ biến: Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro Type Cover.

Hacker xâm nhập Windows Hello trên Dell Inspiron 15 như thế nào

Khi kiểm tra Dell Inspiron 15, cộng đồng hack đã phát hiện ra rằng có thể khởi chạy hệ điều hành Linux trên thiết bị. Sau khi đăng nhập thành công vào nền tảng thay thế này, người dùng có thể đăng ký số nhận dạng sinh trắc học duy nhất của họ trong hệ thống, sau đó gán cho họ số nhận dạng giống hệt như tài khoản Windows được chỉ định mà họ dự định truy cập.

Sau đó, một cá nhân thực hiện cuộc tấn công trung gian vào liên kết liên lạc kết nối máy tính cá nhân và cảm biến. Việc thiết lập được sắp xếp theo cách mà khi Microsoft cố gắng xác nhận xem dấu vân tay được quét có phải là xác thực hay không, cuối cùng Microsoft sẽ tham khảo cơ sở dữ liệu dấu vân tay của Linux chứ không phải của chính nó.

Để trốn tránh các biện pháp bảo mật của Windows Hello, tội phạm mạng đã sử dụng một phương pháp liên quan đến việc chiếm dụng dữ liệu vân tay được lưu trữ trong hệ thống dựa trên Linux. Bằng cách tải lên và gán mã nhận dạng giống hệt nhau cho tài khoản người dùng trên Windows, những kẻ tấn công đã cố gắng giành quyền truy cập trái phép thông qua việc sử dụng xác thực sinh trắc học. Khi làm như vậy, họ đã thao túng lưu lượng mạng trong quá trình đăng nhập, hướng các gói đến cơ sở dữ liệu Linux thay vì nguồn Windows hợp pháp. Điều này cho phép xác nhận sai rằng cá nhân được liên kết với số nhận dạng cụ thể đã sẵn sàng đăng nhập, cuối cùng bỏ qua biện pháp bảo mật.

Hacker đột nhập Windows Hello trên Lenovo ThinkPad T14 như thế nào

Khi kiểm tra Lenovo ThinkPad, bọn tội phạm mạng đã phát hiện ra rằng thiết bị này sử dụng một kỹ thuật mã hóa độc quyền để xác thực sinh trắc học. Thông qua nỗ lực siêng năng, những kẻ tấn công đã có thể giải mã hệ thống này, từ đó có được quyền truy cập vào cơ chế chịu trách nhiệm xác minh nhận dạng dấu vân tay.

Sau khi quá trình hoàn tất thành công, tội phạm mạng có thể thao túng cơ sở dữ liệu dấu vân tay để nó nhận ra dữ liệu sinh trắc học của chúng là xác thực. Từ đó, họ chỉ cần cung cấp bản quét dấu vân tay mới để có thể truy cập vào thiết bị Lenovo ThinkPad.

Cách hacker xâm nhập Windows Hello trên Type Cover của Microsoft Surface Pro

Kỳ vọng ban đầu của hacker là Surface Pro sẽ đưa ra thách thức ghê gớm nhất trong số tất cả các thiết bị; tuy nhiên, điều ngạc nhiên của họ nằm ở việc phát hiện ra sự thiếu vắng các giao thức bảo mật mạnh mẽ để xác minh dấu vân tay hợp pháp trên Surface Pro. Thật vậy, có vẻ như bằng cách vượt qua một tuyến phòng thủ duy nhất và chỉ ra một cách lừa dối cho Surface Pro rằng quá trình quét dấu vân tay đã được thực hiện thành công, quyền truy cập vào thiết bị đã được cấp dễ dàng.

Những thủ thuật này có ý nghĩa gì với bạn?

Mặc dù những rủi ro tiềm ẩn liên quan đến việc sử dụng công nghệ nhận dạng dấu vân tay để truy cập vào máy tính xách tay của một người có vẻ khó khăn nhưng điều quan trọng là phải ghi nhớ một số yếu tố quan trọng trước khi từ bỏ hoàn toàn phương pháp xác thực này.

Các cuộc tấn công được thực hiện bởi các hacker lành nghề

Ransomware-as-a-service (RaaS) đặt ra mối đe dọa đáng kể do khả năng tiếp cận của nó đối với những cá nhân có kiến ​​thức hạn chế về an ninh mạng. Tuy nhiên, các cuộc tấn công nâng cao hơn như các cuộc tấn công liên quan đến việc bỏ qua xác thực thiết bị thông qua nhận dạng sinh trắc học đòi hỏi trình độ kỹ thuật cao hơn.

Các cuộc tấn công yêu cầu kẻ tấn công tương tác vật lý với thiết bị

Để các cuộc tấn công mạng nói trên được thực hiện, bắt buộc phải có sự tương tác vật lý trực tiếp với thiết bị được nhắm mục tiêu. Theo kết quả điều tra, mặc dù có thể khả thi khi phát triển các thiết bị USB có khả năng bắt đầu các cuộc tấn công khi kết nối, nhưng cách tiếp cận như vậy sẽ đòi hỏi một tác nhân độc hại phải đưa một thiết bị bên ngoài vào hệ thống máy tính của một người, do đó gây ra rủi ro bảo mật đáng kể.

Các cuộc tấn công chỉ hoạt động trên các thiết bị cụ thể

Cần phải thừa nhận rằng việc thực hiện thành công một cuộc tấn công đòi hỏi những cách tiếp cận khác nhau để đạt được cùng một mục tiêu. Mỗi tiện ích sở hữu các thuộc tính riêng biệt, do đó khiến một chiến thuật có hiệu quả ở một công cụ này lại không hiệu quả ở một công cụ khác. Do đó, sẽ là thiếu thận trọng khi cho rằng Windows Hello đã gặp phải sự xâm phạm toàn diện trên tất cả các thiết bị; đúng hơn, đánh giá này chỉ liên quan đến ba trường hợp trong đó việc khai thác không thành công.

Mặc dù những cách khai thác này có vẻ đáng sợ nhưng việc thực hiện thành công chúng trên các thiết bị trong thế giới thực có thể cực kỳ khó khăn. Trong hầu hết các trường hợp, kẻ tấn công phải chiếm hữu vật lý phần cứng được nhắm mục tiêu để thực hiện các thao tác như vậy, một hành động chắc chắn sẽ kích hoạt thông báo từ chủ sở hữu ban đầu.

Cách giữ an toàn khỏi bị hack vân tay

Thật vậy, như đã đề cập trước đó, các vi phạm bảo mật nói trên đòi hỏi các quy trình phức tạp thường yêu cầu quyền truy cập vật lý trực tiếp vào thiết bị được đề cập, do đó làm giảm đáng kể khả năng xảy ra các sự cố như vậy nhắm vào người dùng cá nhân.

Trong trường hợp sự không hài lòng vẫn tiếp diễn, có thể thực hiện một số biện pháp nhất định để bảo vệ bản thân trước những hành vi vi phạm tiềm ẩn đối với công nghệ quét dấu vân tay:

Không để thiết bị không được giám sát và không được bảo vệ

Để ngăn chặn những tin tặc yêu cầu tương tác vật lý truy cập trái phép vào thiết bị của bạn, điều quan trọng là phải bảo vệ khỏi khả năng bị đánh cắp hoặc thất lạc. Đặc biệt đối với máy tính xách tay, các biện pháp như không để thiết bị không được giám sát ở khu vực công cộng và sử dụng túi chống trộm an toàn có thể giúp ngăn chặn những tên trộm tiềm ẩn cố gắng đánh cắp hoặc giả mạo thiết bị.

Sử dụng phương thức đăng nhập khác

Windows Hello cung cấp vô số tùy chọn xác thực, từ những tùy chọn tương đối kém an toàn hơn đến những tùy chọn có độ bảo mật cao. Nếu sự nhiệt tình của bạn đối với nhận dạng sinh trắc học giảm dần, chẳng hạn như nhận dạng dấu vân tay, bạn có thể khám phá các phương tiện đăng nhập thay thế, bao gồm nhận dạng khuôn mặt, quét mống mắt, xác minh dấu vân tay, nhập số nhận dạng cá nhân (PIN) hoặc nhập mật mã chữ và số và chọn để biết phương pháp phù hợp nhất với sở thích và yêu cầu bảo mật của bạn.

Điều cần thiết là phải nhận ra rằng khả năng bị tội phạm mạng nhắm đến liên quan đến những vi phạm an ninh này là tương đối nhỏ. Do đó, việc sử dụng các biện pháp xác thực sinh trắc học, chẳng hạn như quét dấu vân tay, nói chung có thể được coi là an toàn. Tuy nhiên, nên thận trọng và tránh để các thiết bị cá nhân không được giám sát hoặc dễ bị trộm cắp.