• Совсем недавно Microsoft предоставляли информацию, что все новые учётные записи будут по умолчанию заводиться без пароля, чтобы защитить их от соответствующих атак, таких как фишинг, подбор пароля и подстановка учётных данных! Новым пользователям предложат несколько вариантов входа в учётную запись, в том числе биометрическую аутентификацию через отпечатки пальцев и распознавание лиц.

• Так вот, на прошедшем Black Hat в Лас-Вегасе, немецкие исследователи Тильман Освальд и доктор Батист Дэвид рассказали, как можно взломать бизнес-версию продукта.

• После того, как Дэвид вошел в систему, используя снимок лица, Тильман, выступая в роли злоумышленника с правами локального администратора, просто выполнил несколько строк кода и внедрил отсканированное изображение своего лица, полученное на другом компьютере, в биометрическую базу данных целевого компьютера. Через несколько секунд компьютер разблокировал систему, приняв его лицо за изображение Дэвида.

• Windows Hello в бизнес-среде работает следующим образом: при первом запуске генерируется пара открытого и закрытого ключей. Этот открытый ключ затем регистрируется у поставщика удостоверений организации, например, Entra ID.

• Сами биометрические данные хранятся в базе данных, управляемой биометрической службой Windows (WBS), и эта БД зашифрована. Затем, после аутентификации, система сопоставляет данные сканирования в режиме реального времени с сохранённым шаблоном.

• Проблема заключается в том, что в некоторых реализациях шифрование, защищающее эту базу данных, не может остановить злоумышленника, уже получившего права локального администратора. Это позволяет ему расшифровать биометрические данные.

• Решение Microsoft Enhanced Sign-in Security (ESS) изолирует весь процесс биометрической аутентификации внутри защищённой среды, управляемой гипервизором системы. Для работы ESS устройству требуется современный 64-разрядный процессор с поддержкой аппаратной виртуализации (поскольку ESS построен на базе технологии Virtualization-Based Security), чип TPM 2.0, безопасная загрузка (Secure Boot) в прошивке и специально сертифицированные биометрические датчики. Microsoft требует такого уровня защиты для своей новой линейки ПК Copilot+, но, как отмечает Освальд, многие существующие компьютеры не справляются с этой задачей.

• Таким образом, ESS эффективно блокирует эту атаку, но не все могут воспользоваться решением. Например, полуторалетний ThinkPad не имеет защищённого датчика для камеры, поскольку в ПК используются чипы AMD, а не Intel.
По словам Освальда и Дэвида, внедрение патча является сложной или даже невозможной задачей без серьёзной переработки, поскольку он затрагивает фундаментальную архитектуру хранения биометрических данных в системах, не относящихся к ESS.

• Тем, кто использует Windows Hello без ESS, рекомендуется полностью отключить биометрию и использовать вместо неё PIN-код. Такие вот дела...

➡️ https://www.theregister.com/2025/08/07/windows_hello_hell_no

#Новости #Microsoft