Windows pourrait avoir un sérieux problème de sécurité entre ses mains

Les principaux capteurs permettant l'authentification par empreinte digitale Windows Hello ne sont pas aussi sécurisés que les fabricants l'espéraient. Les chercheurs ont découvert des failles de sécurité dans un certain nombre de capteurs d'empreintes digitales utilisés dans plusieurs ordinateurs portables fonctionnant avec la fonction d'authentification Windows Hello.

Les chercheurs en sécurité de Blackwing Intelligence ont découvert que les ordinateurs portables fabriqués par Dell, Lenovo et Microsoft peuvent facilement contourner leur authentification par empreinte digitale Windows Hello en raison de vulnérabilités dans les capteurs qui peuvent les amener à être pris en charge par de mauvais acteurs au niveau du système.

De nombreuses marques d'ordinateurs portables utilisent des capteurs d'empreintes digitales de Goodix, Synaptics et ELAN. Ces vulnérabilités commencent à apparaître à mesure que les entreprises adoptent la biométrie comme principale option pour accéder aux appareils. Au fil du temps, l’utilisation des mots de passe continuera de diminuer. Il y a trois ans, Microsoft affirmait que 85 % de ses utilisateurs optaient pour une connexion Windows Hello sur les appareils Windows 10 plutôt qu'un mot de passe, selon The Verge .

À la demande du MORSE (Offensive Research and Security Engineering) de Microsoft, les chercheurs ont partagé les détails de diverses attaques qui ont frappé les ordinateurs portables compatibles avec l'authentification par empreinte digitale lors de la conférence BlueHat de la marque en octobre.

L’une de ces attaques est l’attaque de l’homme du milieu (MitM), qui peut être utilisée pour accéder à un ordinateur portable volé. Une autre méthode est une attaque « Evil Maid », qui peut être utilisée sur un appareil sans surveillance.

Les chercheurs de Blackwing Intelligence ont testé un Dell Inspiron 15, un Lenovo ThinkPad T14 et un Microsoft Surface Pro X, qui ont tous été victimes de diverses méthodes de contournement tant que quelqu'un avait déjà utilisé son empreinte digitale pour accéder aux appareils. Les chercheurs ont noté que le contournement impliquait une ingénierie inverse du matériel et des logiciels des ordinateurs portables. Ils ont notamment découvert des failles dans la couche de sécurité du capteur Synaptics. Windows Hello devait être décodé et restructuré pour dépasser sa configuration, mais il pouvait quand même être piraté.

Les chercheurs ont noté que le protocole SDCP (Secure Device Connection Protocol) de Microsoft constitue une tentative solide d'appliquer une mesure de sécurité dans le cadre de la norme biométrique. Il permet une communication plus sécurisée entre le capteur biométrique et son ordinateur portable. Cependant, tous les fabricants n’ont pas suffisamment mis en œuvre cette fonctionnalité pour qu’elle soit efficace, voire pas du tout. SDCP était activé sur deux des trois ordinateurs portables examinés dans l'étude.

Disposer d'ordinateurs portables biométriques plus sécurisés ne sera pas seulement une tâche pour Microsoft. Un premier remède pour sécuriser les ordinateurs portables compatibles Windows Hello consiste également à activer SDCP du côté du fabricant, a noté Blackwing Intelligence.

Cette étude fait suite à une faille biométrique de reconnaissance faciale de 2021 dans Windows Hello qui permettait aux utilisateurs de contourner la fonctionnalité avec certaines modifications. Microsoft a été contraint de mettre à jour sa fonctionnalité après que les chercheurs ont présenté une preuve de concept montrant des utilisateurs portant des masques ou des opérations de chirurgie plastique contournant l'authentification par reconnaissance faciale Windows Hello.