Senzory odtlačkov prstov na laptopoch nie sú až také bezpečné, ako myslíme: Bezpečnostní experti ukazujú, ako sa dajú prelomiť
Bezpečnostní experti v rámci výskumu prelomili biometrické zabezpečenie troch populárnych modelov notebookov s Windowsom.
Odtlačok prsta je dnes na smartfónoch pomerne bežnou formou zabezpečenia popri tradičnejšom PIN kóde alebo vzore. Biometrické zabezpečenie, teda zabezpečenie pomocou odtlačku alebo tváre, sa však dostáva aj na notebooky a považuje sa za bezpečnejšie, než tradičné heslá. No zdá sa, že nie vždy to tak platí.
Hoci odomknutie zariadenia pomocou odtlačku môže byť bezpečnejšie, stále nie je neprelomiteľné, čo dokazujú aj bezpečnostní experti z BlackWing Intelligence. V rámci vyšetrovania sa zamerali na tri modely laptopov, na ktorých sa im podarilo prelomiť zabezpečenie Windows Hello používajúce odtlačok prsta ako autentifikačnú metódu.
Skúmanými laptopmi boli Dell Inspiron 15, Lenovo ThinkPad T14 a Microsoft Surface Pro Type Cover s Fingerprint ID. Vo všetkých prípadoch ide o obľúbenejšie modely laptopov.
Senzory na odtlačok prsta majú niekoľko bezpečnostných opatrení, ktoré sťažujú útočníkom prístup a tým aj nabúranie sa do systému. Jedným z opatrení je ukladanie informácie na oddelenom čipe, ktorý nie je napojený na primárny úložný priestor zariadenia. Senzory však stále musia operačnému systému povedať, keď zaznamenajú správny odtlačok. Operačnému systému teda posielajú signál, ktorý bezpečnostní experti dokázali zneužiť.
Prelomenie biometrického zabezpečenia
Spoločnosť Microsoft vytvorila protokol SDCP (pozn. Redakcie: Secure Device Connection Protocol), ktorého úlohou je zabezpečiť používanie biometrických senzorov. Protokol SDCP sa stará o to, či je senzor na odtlačok dôveryhodný, či nie je zariadenie poškodené a zároveň zabezpečuje komunikáciu medzi senzorom a zariadením. V praxi protokol SDCP bráni napadnutému operačnému systému použiť senzor bez prítomnosti užívateľa.
Neprehliadnite
Bezpečnostní experti zistili, že z testovaných zariadení používal protokol SDCP len Dell laptop, no ani jeho implementácia nebola dokonalá. Výskumníkom sa podarilo zneužiť schopnosť zariadenia spustiť naraz Windows a Linux. Tieto operačné systémy overujú odtlačky prstov odlišným spôsobom. Zabezpečenie sa im podarilo obísť tak, že registrovali vlastný otlačok v operačnom systéme Linux a dokázali ho prepojiť s iným Windows ID.
Experti vysvetľujú, že proces nie je vôbec jednoduchý a vyžaduje si dodatočný hardvér vrátane miniatúrneho počítača Raspberry Pi 4. Čo sa týka zariadenia Lenovo ThinkPad, tam sa expertom podarilo dostať sa cez odtlačok podobným spôsobom. Všimli si však aj to, že tieto laptopy majú protokol SDCP predvolene vypnutý. Lenovo namiesto neho používa vlastný systém. Ten dešifruje odtlačky pomocou kľúča založenom na produktovom názve a sériovom čísle zariadenia.
Microsoft Surface Pro malo zo všetkých zariadení najslabšie zabezpečenie. Nepoužívalo SDCP a komunikovalo v čistom texte, teda bez akejkoľvek formy šifrovania. Experti v tomto prípade vysvetľujú, že nabúrať sa do zariadenia cez odtlačok môžu prakticky pomocou akéhokoľvek USB zariadenia.
Experti svoj výskum uzatvárajú tak, že výrobcovia laptopov používajúcich Windows Hello by mali zapnúť protokol SDCP a riadne otestovať jeho implementáciu. Biometria však stále ostáva bezpečnejšia ako tradičné heslá. Vo všetkých prípadoch sa totiž vyžaduje, aby mal útočník fyzický prístup k zariadeniu.
Komentáre