Autenticación de Windows Hello omitida en portátiles Microsoft, Dell y Lenovo

AXCESS · Noviembre 24, 2023, 11:32:36 PM

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Los investigadores de seguridad eludieron la autenticación de huellas dactilares de Windows Hello en computadoras portátiles Dell Inspiron, Lenovo ThinkPad y Microsoft Surface Pro X en ataques que explotaron fallas de seguridad encontradas en los sensores de huellas dactilares integrados.

Los investigadores de seguridad de Blackwing Intelligence descubrieron vulnerabilidades durante una investigación patrocinada por Ingeniería de Seguridad e Investigación Ofensiva (MORSE) de Microsoft para evaluar la seguridad de los tres principales sensores de huellas dactilares integrados utilizados para la autenticación de huellas dactilares de Windows Hello.

Jesse D'Aguanno y Timo Teräs de Blackwing apuntaron a sensores de huellas dactilares integrados fabricados por ELAN, Synaptics y Goodix en Microsoft Surface Pro X, Lenovo ThinkPad T14 y Dell Inspiron 15.

Todos los sensores de huellas dactilares probados eran sensores Match-on-Chip (MoC) con su propio microprocesador y almacenamiento, lo que permitía realizar la comparación de huellas dactilares de forma segura dentro del chip.

Sin embargo, si bien los sensores MoC impiden la reproducción de los datos de huellas dactilares almacenados en el host para su comparación, no impiden inherentemente que un sensor malicioso imite la comunicación de un sensor legítimo con el host. Esto podría indicar falsamente una autenticación de usuario exitosa o reproducir el tráfico observado previamente entre el host y el sensor.

Para contrarrestar los ataques que explotarían estas debilidades, Microsoft desarrolló el Protocolo de conexión segura de dispositivos (SDCP), que debería haber garantizado que el dispositivo de huellas digitales fuera confiable y saludable y que la entrada entre el dispositivo de huellas digitales y el host estuviera protegida en los dispositivos objetivo.

A pesar de esto, los investigadores de seguridad eludieron con éxito la autenticación de Windows Hello utilizando ataques de intermediario (MiTM) en las tres computadoras portátiles, aprovechando un dispositivo Raspberry Pi 4 personalizado con Linux.

A lo largo del proceso, utilizaron ingeniería inversa de software y hardware, solucionaron fallas de implementación criptográfica en el protocolo TLS personalizado del sensor Synaptics y decodificaron y reimplementaron protocolos propietarios.

En las computadoras portátiles Dell y Lenovo, la omisión de autenticación se logró enumerando identificaciones válidas y registrando la huella digital del atacante utilizando la identificación de un usuario legítimo de Windows (el sensor Synaptics usó una pila TLS personalizada en lugar de SDCP para proteger la comunicación USB).

Para el dispositivo Surface, cuyo sensor de huellas dactilares ELAN no tenía protección SDCP, usaba comunicación USB de texto sin cifrar y no tenía autenticación, falsificaron el sensor de huellas dactilares después de desconectar la funda con teclado que contenía el sensor y enviaron respuestas de inicio de sesión válidas desde el dispositivo falsificado.

"Microsoft hizo un buen trabajo al diseñar SDCP para proporcionar un canal seguro entre el host y los dispositivos biométricos, pero desafortunadamente los fabricantes de dispositivos parecen malinterpretar algunos de los objetivos", dijeron los investigadores.

"Además, SDCP solo cubre un alcance muy limitado de la operación de un dispositivo típico, mientras que la mayoría de los dispositivos tienen una superficie de ataque considerable expuesta que no está cubierta por SDCP en absoluto".

Después de descubrir que el Protocolo de conexión segura de dispositivos (SDCP) ni siquiera estaba habilitado en dos de cada tres de las computadoras portátiles objetivo, Blackwing Intelligence recomienda que los proveedores que fabrican soluciones de autenticación biométrica se aseguren de que el SDCP esté habilitado, ya que no ayudará a frustrar los ataques si no está activado.

Microsoft dijo hace tres años que la cantidad de usuarios que inician sesión en sus dispositivos con Windows 10 usando Windows Hello en lugar de usar una contraseña aumentó al 84,7 por ciento desde el 69,4 por ciento en 2019.

Fuente:
BleepingComputer
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Autenticación de Windows Hello omitida en portátiles Microsoft, Dell y Lenovo

AXCESS

Noviembre 24, 2023, 11:32:36 PM