Le "Windows Hello" de Microsoft n'est pas aussi sûr qu'on le pense
Une entreprise de sécurité découvre des failles dans les capteurs d'empreintes digitales - et a ainsi pu accéder à des ordinateurs portables Windows. Cette opération s'est apparemment déroulée sans trop de difficultés.
Depuis Windows 10, les utilisateurs utilisent la technologie "Windows Hello" pour se connecter à leurs appareils. En plus du code PIN, il est possible de s'authentifier par des moyens biométriques, comme l'empreinte digitale. Comme il existe de nombreux fabricants d'ordinateurs portables Windows, différents capteurs d'empreintes digitales sont utilisés
Mais cette méthode d'authentification peut apparemment être contournée - avec des moyens relativement simples. C'est ce qu'a découvert l'entreprise de sécurité "Blackwing". La raison en est plusieurs vulnérabilités dans plusieurs capteurs d'empreintes digitales.
Un périphérique USB contourne le verrouillage des empreintes digitales
Les capteurs d'empreintes digitales concernés proviennent des fabricants Goodix, Synaptics et ELAN. Leurs capteurs sont notamment utilisés dans les ordinateurs portables de Dell, Lenovo et Microsoft. Blackwing a analysé un Dell Inspiron 15, un Lenovo ThinkPad T14 et un Surface Pro X de Microsoft pour le compte de Microsoft.
Source : Florian Bodoky
A l'aide d'un périphérique USB préparé, Blackwing a réussi à déclencher une attaque de type "man-in-the-middle" (MITM). Une fois la clé USB insérée, elle donnait accès à l'ordinateur portable si la connexion par empreinte digitale était activée. Selon les estimations, c'est le cas pour 85 pour cent des ordinateurs portables, notamment parce que Microsoft fait des progrès considérables dans la technologie Passkey. Le MITM s'est produit dans l'interface entre le scanner d'empreintes digitales et l'hôte - c'est là que Blackwing a pu le localiser.
Comme l'a indiqué la société, cela suggère que la vulnérabilité n'est pas entièrement de la faute de Microsoft. En effet, l'entreprise a développé le protocole SDCP (Secure Device Connection Protocol) pour sécuriser l'échange de données entre le capteur et l'hôte. Selon Blackwing, les fabricants ne comprennent pas vraiment le fonctionnement du SDCP. Sur deux des trois appareils testés, le protocole n'était même pas activé. Blackwing recommande aux fabricants de notebooks de s'assurer que le SDCP est activé et correctement implémenté dans le capteur d'empreintes digitales.
Microsoft est en train de perdre la bataille contre cette vulnérabilité. Mais ils doivent aussi se regarder en face : La Surface Pro X est également l'un des ordinateurs portables sur lequel le SDCP n'était pas activé.
Photo de couverture. Shutterstock
Depuis que j'ai découvert comment activer les deux canaux téléphoniques de la carte RNIS pour obtenir une plus grande bande passante, je bricole des réseaux numériques. Depuis que je sais parler, je travaille sur des réseaux analogiques. Un Winterthourois d'adoption au cœur rouge et bleu.