安全研究人员发现:Windows Hello系统存在认证漏洞

2021-07-20 09:13:52来源:IT之家  

7 月 19 日消息 智能手机很早前就已经用上生物识别认证,如指纹和人脸,这些功能在笔记本电脑甚至台式机上也变得越来越普遍。

微软的 Windows Hello 系统试图为其桌面平台带来同样的便利和安全组合,而且在大多数情况下表现出色。然而,新的安全研究显示,Windows Hello 的人脸识别过程中有一个致命的漏洞,那就是可以通过使用定制的 USB 设备绕过认证。幸运的是,在现实生活中要想利用这一漏洞并没有那么简单。

CyberArk 的安全研究人员发现,要想愚弄 Windows Hello 系统非常简单,或者至少是其面部识别系统。Windows 要求个人电脑有一个带有 RGB 和红外传感器的摄像头,以便 Windows Hello 面部识别系统能够工作。然而,事实证明,只有红外传感器的数据才是绕过 Windows 安全系统的关键。

IT之家了解到,研究人员使用恩智浦的评估板开发了一个 USB 设备,将自己显示为一个带有 RGB 和红外传感器的 USB 摄像头。但实际上,该设备只是发送预制的图像帧:一些真实主人的红外帧和一些海绵宝宝的 RGB 帧。经过几次测试,研究人员发现,他们真的只需要一个红外帧和一个普通的黑色 RGB 帧来欺骗 Windows Hello。

据 CyberArk 称,该漏洞的存在是因为 Windows Hello 允许外部设备作为生物识别认证的数据源。一方面,微软别无选择,因为并非所有的 Windows PC 都有内置的摄像头或指纹传感器。另一方面,研究证明,它也是本应是万无一失的安全系统中最薄弱的环节。

幸运的是,要想利用这个漏洞,攻击者需要获得目标脸部的红外图像,而这并不容易。此外,他们还需要对台式机或笔记本电脑进行物理接触。

微软这边也作出了回应,称这是 Windows Hello 安全功能的绕过漏洞(bypass vulnerability),并且在本月的 13 日已经发布了补丁来解决这一问题。

标签: 微软 Windows

相关阅读

相关词

推荐阅读