Odkryto luki w zabezpieczeniach funkcji logowania biometrycznego Windows Hello w laptopach kilku znanych producentów.
Specjaliści pracujący w zajmującej się cyberbezpieczeństwem firmie Blackwing Intelligence opisali od strony technicznej swoje ustalenia w artykule na blogu. Odkryli luki w ramach projektu realizowanego na zlecenie ofensywnego zespołu badawczego i inżynierii bezpieczeństwa firmy Microsoft. W ramach projektu przeanalizowano trzy laptopy trzech niezależnych producentów: Microsoft Corp., Lenovo Group Ltd. i Dell Technologies Inc.
Windows Hello to funkcja uwierzytelniania, która została po raz pierwszy wprowadzona w systemie Windows w 2015 roku. Umożliwia użytkownikom logowanie się do swoich komputerów za pomocą skanera linii papilarnych lub innej metody biometrycznej zamiast wpisywania hasła. Microsoft oferuje także korporacyjną wersję funkcji, Windows Hello for Business, której wiele organizacji używa do zabezpieczania urządzeń służbowych pracowników.
Funkcja ta może skutecznie uniemożliwić hakerom zalogowanie się na komputerze, do którego uzyskują fizyczny dostęp. Według Blackwing Intelligence luki wykryte przez badaczy umożliwiają jednak ominięcie funkcji Windows Hello na omawianych laptopach. Hakerzy mogą wykorzystać podatności w celu np. wydobycia danych ze skradzionego komputera lub uzyskania dostępu do aplikacji użytkownika.
Wady dotyczą technologii Microsoftu zwanej z angielskiego Secure Device Connection Protocol (SDCP). Funkcja ta umożliwia komputerowi z systemem Windows sprawdzenie bezpieczeństwa czujnika odcisków palców, zanim zostanie on użyty do przetworzenia żądań logowania użytkownika. Wiele laptopów wykorzystuje SDCP do wsparcia w implementacji Windows Hello.
Gdy użytkownicy próbują zalogować się do komputera za pomocą skanera linii papilarnych, skaner generuje sygnał, na podstawie którego funkcja Windows Hello określa, czy zaakceptować, czy odrzucić żądanie. SDCP zawiera mechanizmy uniemożliwiające hakerom manipulowanie tym sygnałem. Dodatkowo technologia sprawdza, czy skaner linii papilarnych komputera z systemem Windows nie zawiera złośliwego oprogramowania i czy został zbudowany zgodnie z wymogami cyberbezpieczeństwa firmy Microsoft.
„Microsoft wykonał dobrą robotę, projektując protokół SDCP, aby zapewnić bezpieczny kanał między hostem a urządzeniami biometrycznymi, ale niestety wydaje się, że producenci urządzeń nie rozumieją niektórych jego celów” – szczegółowo opisali badacze Blackwing Intelligence. „Dodatkowo SDCP obejmuje tylko bardzo wąski zakres działania typowego urządzenia, podczas gdy większość urządzeń ma narażoną znaczącą powierzchnię ataku, która w ogóle nie jest objęta SDCP”.
Pierwszym laptopem, który naukowcy ocenili podczas analizy funkcji Windows Hello, był należący do Microsoftu komputer typu „dwa w jednym”, Surface X. Ustalili, że laptop nie ma włączonej obsługi SDCP. W rezultacie hakerzy mogą po prostu otworzyć obudowę, zastąpić wbudowany czujnik odcisków palców niestandardowym urządzeniem wyposażonym w złośliwe oprogramowanie i zalogować się za pomocą tego urządzenia.
Specjaliści zbudowali dwa takie urządzenia w celu przetestowania podatności. Pierwsze było oparte na Raspberry Pi, miniaturowym komputerze wycenianym na 35 dolarów. Badacze zmontowali później jeszcze mniejsze urządzenie w oparciu o projekt komputera typu open source.
Drugi laptop, Lenovo ThinkPad T14s, również nie obsługuje SDCP. Zamiast tego wykorzystuje niestandardową implementację protokołu szyfrowania TLS w celu zabezpieczenia wbudowanego czujnika odcisków palców. Protokół ten jest najczęściej używany do szyfrowania połączeń pomiędzy przeglądarkami i stronami internetowymi.
Badacze odkryli, że czujnik odcisków palców w ThinkPadzie T14s może zostać naruszony, jeśli hakerzy uzyskają klucz szyfrowania implementacji TLC. Ustalili, że klucz ten można ekstrapolować na podstawie nazwy produktu i numeru seryjnego laptopa. Obie informacje umieszczone są na naklejce przyklejonej do obudowy maszyny.
Laptopem, który okazał się dla Blackwing Intelligence największym wyzwaniem do kompromitacji, był Dell Inspiron 15. W przeciwieństwie do dwóch pozostałych maszyn ocenionych przez badaczy, ten laptop faktycznie implementuje SDCP. Jednak implementacja ta ma poważną wadę: działa tylko w systemie Windows.
Ustalono, że funkcję SDCP notebooka Inspiron 15 można ominąć, konfigurując urządzenie tak, aby podczas uruchamiania ładowało system Linux zamiast systemu Windows. Gdy maszyna ładuje system Linux, hakerzy mogą przechwycić dane generowane przez czujnik odcisków palców podczas przetwarzania żądań logowania. Następnie mogą manipulować tymi danymi, aby nakłonić funkcję Windows Hello do zaakceptowania żądań logowania, które w innym wypadku zostałyby odrzucone.
Przeprowadzone badania pokazują, jak długą drogę musi jeszcze pokonać technologia Windows Hello, aby mogła być z powodzeniem implementowana w wielkich korporacjach jako bezhasłowa i podstawowa metoda uwierzytelniania. Możliwość podmiany sprzętowej czujnika linii papilarnych w celu dostępu do urządzenia oraz aplikacji chronionych uwierzytelnieniem to poważna luka bezpieczeństwa. Microsoft powinien przeprowadzić szczegółową weryfikację wykorzystania swojej technologii u producentów sprzętu komputerowego.