Windows ma ogromny problem z bezpieczeństwem logowania

Microsoft Windows Hello to obecnie dość powszechna metoda logowania się do systemu Windows. Jednakże ochronę biometryczną udało się już pokonać na kilka sposobów, a problemem są głównie producenci notebooków i czujników. 

Jeszcze trzy lata temu Microsoft informował, że aż 85% użytkowników systemu Windows 10 wykorzystuje Windows Hello jako sposób logowania, z pominięciem prostego hasła. Niektóre statystyki Hello obejmują również logowanie za pomocą PIN-u, który w istocie stanowi inną odmianę hasła. Choć biometryczne metody logowania stają się coraz bardziej powszechne i są praktycznie standardem w laptopach, okazuje się, że ich bezpieczeństwo nie jest takie doskonałe, jak można by się było spodziewać. Jednak nie można bezpośrednio winić Microsoftu za tę sytuację. Główne problemy tkwią raczej po stronie producentów notebooków oraz samych czujników biometrycznych, a kłopoty wynikają zarówno z błędów w sprzęcie, jak i wewnętrznego oprogramowania (firmware).

Badacze bezpieczeństwa z Blackwing Intelligence odkryli, że w laptopach firm Dell, Lenovo i Microsoft można łatwo ominąć uwierzytelnianie za pomocą linii papilarnych Windows Hello.

Zdaniem ekspertów, protokół Secure Device Connection Protocol (SDCP), który Hello wykorzystuje do bezpiecznej komunikacji między systemem operacyjnym a czujnikiem, jest dobrze zaprojektowany. Jednakże problemy z rzeczywistymi urządzeniami wynikają z nieprawidłowej lub braku implementacji przez producentów komputerów.

W przypadku niektórych urządzeń występowały problemy z obsługą lub brakiem aktywacji funkcji, a także z oprogramowaniem czytnika linii papilarnych. Zgodnie z doniesieniami badaczy z Blackwing Intelligence, uwierzytelnianie za pomocą odcisków palców może być omijane w niektórych notebookach, takich jak Dell (Inspiron 15), Lenovo (ThinkPad T14) i Microsoft (Surface Pro X), z powodu błędów w czujnikach. Okazało się, że dostęp do laptopów można było uzyskać, wykorzystując wcześniej zarejestrowany odcisk palca właściciela. W przypadku tych notebooków wykorzystano czujnik firmy Synaptics, który posiadał lukę w zabezpieczeniach. Nawet wprowadzenie bardziej bezpiecznej metody, takiej jak SDCP dla lepszej komunikacji systemu z czujnikiem, nie było wystarczające, aby wyeliminować ten błąd (niektóre z tych laptopów w ogóle nie korzystały z tej ulepszonej metody). Warto przypomnieć, że część systemu rozpoznawania twarzy Windows Hello została zhakowana dwa lata temu.