Ověřování Windows Hello se obešlo pomocí falešné kamery

Hackeři prokázali, že jsou schopni obejít zabezpečení Windows Hello pomocí falešné USB kamery, která přenášela zachycené infračervené snímky cíle, který, jak se zdá, Windows Hello docela rád přijímá.

Problém se zdá být v ochotě Windows Hello přijmout jakoukoli kameru s IR jako kameru Windows Hello, což hackerům umožňuje nabízet do počítače zmanipulované místo skutečných dat.

Navíc se ukázalo, že hackeři musí do PC poslat pouze dva snímky – jeden skutečný IR zachycení cíle a jeden prázdný černý snímek. Zdá se, že druhý snímek je potřeba k oklamání testů životnosti Windows Hello.

CyberArk Labs říká, že IR obraz lze zachytit speciálními IR kamerami s dlouhým dosahem nebo kamerami umístěnými tajně v prostředí cíle, jako je výtah.

Microsoft rozpoznal zranitelnost v poradní CVE-2021-34466 a jako zmírnění nabídla rozšířené zabezpečení přihlášení Windows Hello. To umožňuje používat jako zdroj dat pouze kamery Windows Hello, které jsou součástí kryptografického řetězce důvěry od výrobce OEM, což CyberArk poznamenává, že není podporováno všemi zařízeními.

Přečtěte si všechny podrobnosti na CyberArk zde.