Buzz
Hệ thống cảm biến cho phép xác thực dấu vân tay với tính năng Windows Hello không an toàn như kỳ vọng của các nhà sản xuất. Nguy cơ này diễn ra trên các máy tính xách tay được sản xuất bởi Dell, Lenovo và Microsoft.
Các nhà nghiên cứu tại Blackwing Intelligence đã phát hiện một lỗ hổng bảo mật trong cảm biến vân tay được sử dụng trên một số máy tính xách tay tích hợp tính năng xác thực Windows Hello. Điều này bao gồm các sản phẩm của Dell, Lenovo và Microsoft có thể dễ dàng bị xâm nhập thông qua lỗ hổng trong cảm biến, tiềm ẩn rủi ro chiếm đoạt dữ liệu ở cấp độ hệ thống.
Nhiều thương hiệu máy tính xách tay sử dụng cảm biến vân tay của Goodix, Synaptics và ELAN. Các lỗ hổng này bắt đầu trở nên rõ ràng khi các doanh nghiệp chuyển sang sử dụng công nghệ sinh trắc học như một phương tiện chính để truy cập thiết bị. Theo thời gian, việc sử dụng mật khẩu dự kiến sẽ tiếp tục gia tăng. Ba năm trước, Microsoft đã thông báo rằng 85% người dùng của họ đã chọn sử dụng Windows Hello để đăng nhập vào các thiết bị chạy Windows 10 thay vì mật khẩu.
Cuộc tấn công vào các máy tính xách tay hỗ trợ xác thực dấu vân tay diễn ra tại hội nghị BlueHat do Microsoft tổ chức vào tháng trước. Một trong số các cuộc tấn công như vậy là man-in-the-middle (MitM), có thể được sử dụng để truy cập vào máy tính xách tay bị chiếm đoạt.
Các nhà nghiên cứu từ Blackwing Intelligence đã tập trung vào việc nghiên cứu các mẫu máy tính xách tay Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro X, tất cả đều trở thành mục tiêu của nhiều phương pháp tấn công khác nhau, với điều kiện là dấu vân tay của họ đã được sử dụng trước đó để truy cập thiết bị. Họ lưu ý rằng việc bỏ qua yêu cầu phải thực hiện quy trình đảo ngược về cả phần cứng và phần mềm trên máy tính xách tay. Đặc biệt, họ đã phát hiện ra các lỗ hổng trong lớp bảo mật của cảm biến Synaptics. Windows Hello cần được giải mã và cấu trúc lại để vượt qua quy trình thiết lập, tuy nhiên, nó vẫn có thể bị hack.
Các nhà nghiên cứu lưu ý rằng Giao thức kết nối thiết bị an toàn (SDCP) của Microsoft được công ty áp dụng như một biện pháp trong tiêu chuẩn sinh trắc học. Nó cho phép giao tiếp an toàn hơn giữa cảm biến sinh trắc học và máy tính xách tay. Tuy nhiên, không phải tất cả các nhà sản xuất đều triển khai tính năng này đủ tốt để nó có hiệu quả nếu họ kích hoạt nó, và hai trong số ba máy tính xách tay được kiểm tra trong nghiên cứu đã bật SDCP. Blackwing Intelligence lưu ý rằng biện pháp khắc phục ban đầu để bảo mật máy tính xách tay hỗ trợ Windows Hello là kích hoạt SDCP từ phía nhà sản xuất.
