Zranitelnost čteček otisků prstů u Windows
Přihlašování do notebooku s Windows pomocí otisku prstu je rychlé a pohodlné. Stačí přiložit prst na skener a systém vás vpustí. Nicméně, i když je tento způsob uživatelsky příjemný, nedávné výzkumy ukázaly, že není tak bezpečný, jak se zdá a je náchylný k hackerským útokům.
Jak tedy mohou hackeři obejít zabezpečení Windows Hello a měli bychom se o to obávat?
Je možné prolomit skenery otisků prstů Windows Hello?
Pokud se hacker snaží obejít čtečku otisků prstů na počítači s Windows, snaží se proniknout přes službu Windows Hello. Tato služba zajišťuje různé způsoby přihlašování, jako jsou PIN kódy, skenování obličeje nebo právě otisků prstů.
V rámci výzkumu bezpečnosti Windows Hello zveřejnili dva etičtí hackeři, Jesse D’Aguanno a Timo Teräs, detailní zprávu na svých webových stránkách Blackwing Headquarters. Zpráva popisuje, jak úspěšně prolomili zabezpečení tří oblíbených zařízení: Dell Inspiron 15, Lenovo ThinkPad T14 a kryt Microsoft Surface Pro Type Cover.
Jak hackeři prolomili Windows Hello na Dell Inspiron 15
U notebooku Dell Inspiron 15 hackeři zjistili, že mohou do počítače zavést operační systém Linux. Po spuštění Linuxu mohli zaregistrovat své otisky prstů a přiřadit jim stejné identifikační číslo, jaké má uživatel Windows, ke kterému se chtěli přihlásit.
Následně provedli útok typu „man-in-the-middle“ na spojení mezi počítačem a senzorem. Upravili proces tak, že když Windows dvakrát kontrolovaly legitimitu naskenovaného otisku prstu, místo kontroly v systému Windows, se kontrola provedla v linuxové databázi otisků prstů.
Aby se hackeři vyhnuli Windows Hello, nahráli své otisky prstů do databáze Linuxu, přiřadili jim stejné ID jako uživatel Windows, a poté se pokusili přihlásit do systému pomocí svých otisků. Během ověřovacího procesu pak přesměrovali data do databáze Linuxu, která pak systému Windows oznámila, že daný uživatel je připraven k přihlášení.
Jak hackeři prolomili Windows Hello na Lenovo ThinkPad T14
U notebooku Lenovo ThinkPad hackeři zjistili, že pro ověřování otisků prstů používá vlastní metodu šifrování. Po určitém úsilí se jim podařilo tuto metodu dešifrovat a proniknout do procesu ověřování otisků prstů.
Po tomto úspěchu byli schopni donutit databázi otisků prstů, aby přijala jejich otisk jako otisk oprávněného uživatele. Následně už stačilo naskenovat otisk a získat přístup k notebooku Lenovo ThinkPad.
Jak hackeři prolomili Windows Hello na krytu Microsoft Surface Pro Type Cover
Hackeři předpokládali, že Surface Pro bude nejhůře překonatelným zařízením. Nicméně, byli překvapeni zjištěním, že Surface Pro postrádá některá bezpečnostní opatření pro kontrolu platnosti otisků prstů. Ve skutečnosti zjistili, že stačilo překonat jedinou překážku, a pak systému Surface Pro oznámit, že skenování proběhlo úspěšně, což zařízení umožnilo přístup.
Co tyto průniky znamenají pro běžné uživatele?
Tyto útoky mohou působit znepokojivě, zvláště pokud používáte otisk prstu pro přihlašování k notebooku. Než se ale úplně vzdáte této metody, je dobré mít na paměti několik důležitých faktorů.
1. Útoky vyžadovaly pokročilé hackerské znalosti
Ransomware jako služba je nebezpečný především proto, že ho může používat téměř kdokoli i bez hlubších znalostí kybernetické bezpečnosti. Nicméně, popsané útoky vyžadují vysokou úroveň odborných znalostí a detailní pochopení procesů ověřování otisků prstů a jejich obcházení.
2. Útoky vyžadují fyzický kontakt s útočeným zařízením
Aby mohl hacker provést tyto útoky, musí mít fyzický přístup k zařízení. V dokumentaci hackeři uvádějí, že by mohli vyvinout USB zařízení, které by útok provedlo po připojení, ale to znamená, že potenciální útočník by musel připojit něco k vašemu počítači, aby ho mohl prolomit.
3. Útoky jsou specifické pro konkrétní zařízení
Jak si můžete všimnout, každý útok musel být proveden odlišným způsobem pro dosažení stejného výsledku. Každé zařízení je jedinečné a hack, který funguje na jednom zařízení, nemusí nutně fungovat i na jiném. Proto není možné tvrdit, že Windows Hello je nyní zranitelné na všech zařízeních, ale tyto konkrétní tři modely ano.
I když tyto hacky mohou znít dramaticky, je jejich realizace v reálném světě náročná. Hacker by musel zařízení pravděpodobně ukrást, aby mohl útok provést, což by nepochybně vzbudilo pozornost předchozího majitele.
Jak se chránit před útoky na otisk prstu?
Jak je zmíněno výše, odhalené hacky jsou složité a mohou vyžadovat, aby hacker fyzicky manipuloval se zařízením. Proto je velmi malá pravděpodobnost, že se stanete cílem takovýchto útoků.
Pokud máte ale obavy, existuje několik možností, jak se před potenciálními útoky ochránit:
1. Nenechávejte zařízení bez dozoru a bez zabezpečení
Vzhledem k tomu, že hacker musí s vaším zařízením fyzicky manipulovat, je klíčové zabránit jeho odcizení. U počítačů je možné podniknout kroky, které ztíží jeho krádež. Pokud používáte notebook, nikdy ho nenechávejte na veřejných místech bez dozoru a zvažte použití tašky na notebook s ochranou proti krádeži.
2. Zvažte alternativní způsoby přihlášení
Windows Hello nabízí několik metod přihlašování, které se liší úrovní zabezpečení. Pokud jste preferovali skenování otisků prstů, zvažte použití jiného, bezpečnějšího způsobu, jako je ověření pomocí obličeje, skenování duhovky, PIN kódu nebo hesla. Vyberte si metodu, která vám nejvíce vyhovuje.