Μια ομάδα ασφαλείας που προσελήφθη από τη Microsoft για να δοκιμάσει το hardware και το software ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων Windows Hello δημοσίευσε ότι κατάφερε να παρακάμψει την τεχνολογία αυτή σε διάφορους φορητούς υπολογιστές, συμπεριλαμβανομένου ενός Microsoft Surface.
Η ομάδα Blackwing Intelligence αποκάλυψε τα ευρήματά της τον περασμένο Οκτώβριο στο πλαίσιο του συνεδρίου ασφαλείας BlueHat της Microsoft, αλλά δημοσίευσε τα αποτελέσματά της στη δική της ιστοσελίδα αυτήν την εβδομάδα. Η ανάρτηση στο blog, η οποία έχει τον τίτλο “A Touch of Pwn”, αναφέρει ότι η ομάδα χρησιμοποίησε τους αισθητήρες δακτυλικών αποτυπωμάτων που βρίσκονται μέσα στους φορητούς υπολογιστές Dell Inspiron 15 και Lenovo ThinkPad T14, μαζί με το Microsoft Surface Pro Type Cover με Fingerprint ID που κατασκευάστηκε για τα tablet Surface Pro 8 και X. Οι συγκεκριμένοι αισθητήρες δακτυλικών αποτυπωμάτων κατασκευάστηκαν από τις Goodix, Synaptics και ELAN.
Όλοι οι αισθητήρες δακτυλικών αποτυπωμάτων με υποστήριξη Windows Hello που δοκιμάστηκαν βασίζονταν σε “match on chip” hardware, πράγμα που σημαίνει ότι ο έλεγχος ταυτότητας γίνεται στον ίδιο τον αισθητήρα, ο οποίος διαθέτει τον δικό του μικροεπεξεργαστή και αποθηκευτικό χώρο. Η Blackwing δήλωσε:
Μια βάση δεδομένων με “πρότυπα δακτυλικών αποτυπωμάτων” (τα βιομετρικά δεδομένα που λαμβάνονται από τον αισθητήρα δακτυλικών αποτυπωμάτων) αποθηκεύεται στο τσιπ και η εγγραφή και η αντιστοίχιση πραγματοποιούνται απευθείας στο τσιπ. Δεδομένου ότι τα templates των δακτυλικών αποτυπωμάτων δεν φεύγουν ποτέ από το τσιπ, αυτό εξαλείφει τις ανησυχίες για την προστασία της ιδιωτικότητας όσον αφορά την αποθήκευση βιομετρικού υλικού και τη δυνητική διαρροή του από τον κεντρικό υπολογιστή – ακόμη και αν αυτός παραβιαστεί. Η προσέγγιση αυτή αποτρέπει επίσης τις επιθέσεις που σχετίζονται με την απλή αποστολή εικόνων έγκυρων δακτυλικών αποτυπωμάτων στον host για αντιστοίχιση.
Η Blackwing έκανε reverse engineering για να βρει ελαττώματα στους αισθητήρες δακτυλικών αποτυπωμάτων και στη συνέχεια δημιούργησε τη δική της συσκευή USB που μπορούσε να εκτελέσει επίθεση τύπου man-in-the-middle (MitM). Αυτή η συσκευή τους επέτρεψε να παρακάμψουν το hardware ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων σε αυτές τις συσκευές.
Στο blog επισημάνθηκε επίσης ότι ενώ η Microsoft χρησιμοποιεί το Secure Device Connection Protocol (SDCP) “για να παρέχει ένα ασφαλές κανάλι επικοινωνίας μεταξύ του κεντρικού υπολογιστή και των βιομετρικών συσκευών”, δύο από τους τρεις αισθητήρες δακτυλικών αποτυπωμάτων που δοκιμάστηκαν δεν είχαν καν ενεργοποιημένο το SDCP. Η Blackwell συνιστά σε όλες τις εταιρείες αισθητήρων δακτυλικών αποτυπωμάτων όχι μόνο να ενεργοποιήσουν το SDCP στα προϊόντα τους, αλλά και να αναθέσουν σε μια τρίτη εταιρεία να ελέγξει τη λειτουργία του.
Θα πρέπει να τονιστεί ότι για την παράκαμψη αυτών των συστημάτων δακτυλικών αποτυπωμάτων χρειάστηκαν “περίπου τρεις μήνες” εργασίας από την Blackwing και μεγάλη προσπάθεια, αλλά το θέμα είναι ότι τα κατάφεραν. Μένει να δούμε αν η Microsoft, ή οι εταιρείες αισθητήρων δακτυλικών αποτυπωμάτων, μπορούν να χρησιμοποιήσουν αυτή την έρευνα για να διορθώσουν αυτά τα προβλήματα.
[Blackwing]
