Sécurité : Des chercheurs contournent la reconnaissance d’empreintes Windows Hello

<p>Votre ordinateur portable dispose d&rsquo&semi;un capteur d&&num;8217&semi;empreintes digitales pratique&comma; mais est-il vraiment sécurisé&quest; D&rsquo&semi;après les recherches menées par Blackwing Intelligence&comma; des chercheurs ont réussi à contourner le système de reconnaissance d&&num;8217&semi;empreintes digitales Windows Hello sur des ordinateurs portables Dell&comma; Lenovo et Microsoft&period; Les fabricants devraient remédier à ce problème en adoptant des pratiques de sécurité strictes et cohérentes&comma; selon Blackwing Intelligence&period;<&sol;p>&NewLine;<p>Microsoft a demandé à Blackwing Intelligence d&rsquo&semi;étudier le système de <a href&equals;"https&colon;&sol;&sol;www&period;tech-connect&period;info&sol;technologies&sol;la-reconnaissance-des-gestes-par-wi-fi&sol;2446&sol;">reconnaissance<&sol;a> d&&num;8217&semi;empreintes digitales de Windows Hello en prévision de la conférence BlueHat de 2023&period; Blackwing Intelligence n&rsquo&semi;avait que trois mois pour mener ses recherches et a donc ciblé trois ordinateurs portables &colon; le Dell Inspiron 15&comma; le Lenovo ThinkPad T14 et le Microsoft Surface Pro X&period; Ces ordinateurs portables ont été choisis car ils contiennent les trois capteurs d&&num;8217&semi;empreintes digitales intégrés les plus populaires &lpar;Goodix&comma; Synaptics et ELAN&rpar;&period;<&sol;p>&NewLine;<p>Des <a href&equals;"https&colon;&sol;&sol;www&period;tech-connect&period;info&sol;hors-sujet&sol;injection-sql-quest-ce-que-cest-et-comment-cela-fonctionne&sol;5615&sol;">vulnérabilités<&sol;a> uniques ont été découvertes dans le système de reconnaissance d&&num;8217&semi;empreintes digitales Windows Hello de chaque ordinateur portable&period; L&rsquo&semi;équipe de Blackwing Intelligence a utilisé un dispositif USB sur mesure pour exploiter ces vulnérabilités et contourner la connexion par empreinte digitale&period; En théorie&comma; le protocole de connexion sécurisée de Microsoft &lpar;SDCP&rpar; devrait protéger les ordinateurs portables contre ce type d&rsquo&semi;attaque&period; Cependant&comma; le SDCP n&rsquo&semi;est pas utilisé par le lecteur d&&num;8217&semi;empreintes digitales du Thinkpad T13 ou du Surface Pro X&comma; et Blackwing Intelligence a réussi à contourner le système SDCP de l&rsquo&semi;Inspiron 15 en redirigeant la base de données d&&num;8217&semi;empreintes digitales de l&rsquo&semi;ordinateur portable sur Linux&period;<&sol;p>&NewLine;<p>Étonnamment&comma; le Surface Pro X s&rsquo&semi;est avéré être la victime la plus facile&period; Ce portable hybride aurait dû représenter un défi unique&period; Après tout&comma; il est fabriqué par Microsoft et tourne sous le système d&rsquo&semi;exploitation Windows sur ARM&period; Mais&comma; comme l&rsquo&semi;explique Blackwing Intelligence&comma; n&rsquo&semi;importe quel périphérique USB peut se faire passer pour le capteur d&&num;8217&semi;empreintes digitales du Surface Pro X &lpar;en usurpant son VID&sol;PID&rpar;&period; Le seul véritable obstacle posé par le Surface Pro X est un test de vérification du nombre d&&num;8217&semi;empreintes digitales&comma; qui demande au clavier amovible combien d&&num;8217&semi;empreintes il a enregistrées &lpar;ceci est probablement pour éviter que deux utilisateurs de Surface Pro X ne se mélangent les claviers&rpar;&period;<&sol;p>&NewLine;<p>La bonne nouvelle est que ces <a href&equals;"https&colon;&sol;&sol;fr&period;wikipedia&period;org&sol;wiki&sol;Attaque&lowbar;de&lowbar;l&percnt;27homme&lowbar;du&lowbar;milieu">attaques d&rsquo&semi;homme du milieu<&sol;a> &lpar;MitM&rpar; nécessitent un accès physique à l&rsquo&semi;ordinateur portable de la victime&period; Et si vous êtes assez important pour être la cible d&rsquo&semi;une telle attaque&comma; vous pouvez vous protéger en désactivant la connexion par empreinte digitale de votre ordinateur portable&period; Mais ces recherches mettent en évidence un fait gênant &colon; les fabricants d&rsquo&semi;ordinateurs portables Windows&comma; y compris Microsoft&comma; ne suivent pas des pratiques de sécurité cohérentes&period;<&sol;p>&NewLine;<p>Blackwing Intelligence demande à tous les fabricants d&rsquo&semi;ordinateurs portables et de capteurs d&&num;8217&semi;empreintes digitales d&rsquo&semi;implémenter le SDCP et d&&num;8217&semi;embaucher des auditeurs en sécurité tiers à l&rsquo&semi;avenir&period; Pour plus d&rsquo&semi;informations&comma; veuillez consulter l&rsquo&semi;article <b>« <a href&equals;"https&colon;&sol;&sol;blackwinghq&period;com&sol;blog&sol;posts&sol;a-touch-of-pwn-part-i&sol;">A Touch of Pwn<&sol;a>« <&sol;b> de Blackwing Intelligence ou regarder la présentation de la société lors de la conférence BlueHat&period;<&sol;p>&NewLine;<p><amp-youtube data-videoid&equals;"gjvu-l6vKFE" layout&equals;"responsive" width&equals;"1000" height&equals;"563"><&sol;amp-youtube><&sol;p>&NewLine;