Vulnerabilità in Windows Hello, patch disponibile

Tra le patch rilasciate da Microsoft lo scorso 13 luglio c’è anche quella che risolve una vulnerabilità in Windows Hello. Il bug, scoperto dai ricercatori di CyberArk, potrebbe essere sfruttato per ingannare il sistema di autenticazione con un’immagine IR e una webcam USB.

Windows Hello: riconoscimento ingannato

Windows Hello è una funzionalità molto utilizzata soprattutto in ambito aziendale (la versione “for Business”), in quanto evita l’inserimento di password. Per effettuare l’accesso a Windows 10 è possibile utilizzare il riconoscimento biometrico (volto e impronta digitale), ottenendo così una maggiore sicurezza. Per il riconoscimento facciale occorre una webcam integrata o esterna USB con sensori RGB e IR.

CyberArk ha scoperto che solo i frame IR vengono elaborati durante il processo di autenticazione. Qualche malintenzionato potrebbe ottenere un’immagine IR della vittima (è possibile farlo anche a distanza con le fotocamere più avanzate) e utilizzarla per accedere al suo computer.

I ricercatori di sicurezza hanno quindi realizzato una webcam USB custom e caricato l’immagine IR sul dispositivo. Dopo aver collegato la webcam al computer è possibile ingannare Windows Hello ed effettuare il login. Microsoft ha rilasciato la patch che risolve la vulnerabilità, suggerendo anche di attivare la funzionalità Enhanced Sign-in Security in Windows 10 che conserva i dati cifrati in un’area protetta (occorre però una webcam compatibile).

È possibile anche bloccare l’accesso tramite webcam USB, impostando a 1 il valore della DWORD ShouldForbidExternalCameras nella chiave HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon.