Les chercheurs en sécurité de CyberArk ont réussi à contournez la reconnaissance faciale Windows Hello à l'aide d'une fausse webcam qui pompe des données infrarouges dans un PC. Le processus derrière cet exploit est relativement simple, bien que ce ne soit pas une préoccupation sérieuse pour la personne moyenne, car il nécessite des tactiques de type James Bond.
Windows Hello vérifie les utilisateurs à l'aide d'un instantané IR pour voir une carte 3D de leur visage, c'est pourquoi vous ne pouvez pas tromper le système d'authentification avec une photo imprimée. Mais vous pouvez toujours alimenter le système d'authentification Windows Hello “valid” images à partir d'un périphérique USB, tant qu'il prétend être un appareil photo avec des capteurs IR et RVB.
L'équipe CyberArk a découvert que Windows Hello nécessite une seule image IR et RVB pour vérifier un utilisateur. Ils ont donc chargé leur périphérique USB avec une lecture infrarouge valide du visage d'un utilisateur Windows, ainsi qu'une image RVB de Bob l'éponge. Le périphérique USB, branché sur un PC verrouillé, a réussi à percer Windows Hello.
Évidemment, Windows Hello ne vérifie pas que les images IR proviennent d'un flux en direct, et il ne vérifie pas le contenu de n'importe quelle image RVB il est remis (CyberArk dit que l'exigence RVB existe probablement pour empêcher l'usurpation d'identité). Un système plus complet ralentirait probablement le processus de connexion à Windows Hello, ce qui pourrait nuire à l'objectif de certains utilisateurs.
L'équipe de CyberArk affirme que les pirates n'ont probablement jamais utilisé cet exploit, ce qui est logique. Pour y parvenir, un pirate informatique a besoin d'un accès physique à un PC exécutant Windows Hello, ainsi qu'une image proche infrarouge de son utilisateur. Ainsi, en plus de voler un ordinateur portable ou de se faufiler dans un bâtiment, le pirate informatique devrait prendre des photos infrarouges de vous à une distance relativement courte.
Rien de tout cela n'est impossible, et cela peut être relativement facile si vous êtes un pirate informatique avec une éthique de travail sérieuse, un agent salarié du gouvernement ou un employé mécontent qui essaie de tromper votre employeur. Mais il y a encore beaucoup de petits obstacles ici. Les bureaux qui prennent la sécurité au sérieux ont tendance à cacher les ports USB de bureau derrière des cages pour empêcher les attaques en personne, par exemple, et vous pouvez avoir des difficultés à accéder aux informations sensibles sur un ordinateur ou un réseau sécurisé même si vous contournez un écran de verrouillage.
< p>Microsoft a identifié cet exploit et dit qu'un correctif a été publié le 13 juillet (bien que cela puisse prendre un certain temps pour que les entreprises installent réellement le correctif). La société souligne également que les entreprises utilisant la sécurité de connexion améliorée de Windows Hello sont protégées contre tout matériel qui n'est pas pré-approuvé par leurs administrateurs système, bien sûr, si les périphériques matériels utilisés par une entreprise ne sont pas sécurisés, La sécurité de connexion améliorée pourrait être compromise.
CyberArk annonce qu'il présentera toutes ses conclusions sur Windows Hello à Black Hat 2021, qui se déroulera les 4 et 5 août.
Source : CyberArk via Windows Central