La protection Windows Hello utilisant des scanners d’empreintes digitales a été contournée – des vulnérabilités ont été trouvées sur les ordinateurs portables Dell, Lenovo et même Microsoft. Les experts en sécurité de Blackwing Intelligence ont découvert des failles de sécurité dans les scanners d’empreintes digitales de trois grands fabricants, des composants intégrés aux ordinateurs portables et largement utilisés par les entreprises disposant de l’authentification Windows Hello.
Source de l’image : Gerd Altmann / pixabay.com
L’étude Blackwing Intelligence a été commandée par la division MORSE de Microsoft : l’entreprise était chargée d’évaluer la sécurité des scanners d’empreintes digitales et a présenté ses conclusions à la conférence Microsoft BlueHat en octobre. Les scanners Goodix, Synaptics et ELAN ont été choisis comme objets d’étude ; Ils se sont révélés insuffisamment protégés et les chercheurs ont décrit en détail le processus de création d’un périphérique USB pour mener une attaque de classe MitM (man-in-the-middle). .
Des experts ont piraté des ordinateurs portables protégés par un scanner d’empreintes digitales Dell Inspiron 15, Lenovo ThinkPad T14 et Microsoft Surface Pro Synaptics. Contourner la sécurité de Windows Hello impliquait le décodage et la réintroduction de protocoles propriétaires. « Microsoft a fait du bon travail en créant le protocole SDCP (Secure Device Connectivity Protocol) pour fournir un canal sécurisé entre l’hôte et les appareils biométriques, mais malheureusement les fabricants d’appareils semblent manquer certains objectifs. De plus, SDCP ne couvre qu’une zone étroite de fonctionnement pour un appareil typique, et SDCP ne couvrait pas du tout la surface d’attaque pour la plupart des appareils.», ont commenté les experts de Blackwing Intelligence à propos de leur découverte.
Les chercheurs ont découvert que sur deux des trois appareils attaqués, la protection SDCP de Microsoft n’était pas du tout activée. À cet égard, il a été recommandé aux fabricants d’ordinateurs portables de s’assurer que le protocole SDCP est activé et de vérifier la mise en œuvre du scanner d’empreintes digitales avec la participation d’un expert qualifié. Blackwing Intelligence a également étudié les vulnérabilités du micrologiciel du scanner aux attaques contre l’intégrité de la mémoire, ainsi que la sécurité des scanners d’empreintes digitales sur les produits et appareils Apple exécutant Linux et Android.
Si vous remarquez une erreur, sélectionnez-la avec la souris et appuyez sur CTRL+ENTRÉE.
