Tính năng bảo mật bằng sinh trắc học của Windows Hello đối mặt với những cuộc tấn công mới

12:59 24/11/2023

(VietQ.vn) - Những tính năng bảo mật mới tập hợp trong Windows Hello được Microsoft ứng dụng cho những sản phẩm của mình đã để lộ những lỗ hổng, người dùng cần hết sức lưu ý.

Windows Hello, hệ thống xác thực người dùng của Microsoft, bao gồm mã PIN, nhận dạng khuôn mặt và nhận dạng dấu vân tay, được phát triển để đảm bảo an toàn khi mở khóa thiết bị Windows. Microsoft tự tin rằng tính năng bảo mật này sẽ mang lại hiệu suất tối ưu cho người sử dụng.

Tuy nhiên, nhóm Blackwell Intelligence gần đây đã phát hiện nhiều lỗ hổng có thể bị khai thác trong Windows Hello trên các máy tính xách tay phổ biến như Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro X. Các nhà nghiên cứu tập trung vào điểm yếu của các cảm biến vân tay được nhúng từ các nhà sản xuất như Goodix, Synaptics và ELAN.

Tất cả các cảm biến vân tay hỗ trợ Windows Hello sử dụng phần cứng dựa trên chip, tức là quá trình xác thực diễn ra trực tiếp trên cảm biến có chip và không truyền thông tin lên máy chủ. Điều kiện tiên quyết để khai thác lỗ hổng là người dùng máy tính xách tay đã thiết lập xác thực dấu vân tay.

Cảm biến vân tay, còn được gọi là "match on chip" (MoC), ngăn chặn việc tái tạo dữ liệu dấu vân tay được lưu trữ trên máy chủ. Tuy nhiên, nó không ngăn chặn cảm biến độc hại giả mạo giao tiếp của cảm biến hợp pháp với máy chủ. Nếu người tấn công thành công giả mạo, họ có thể đăng nhập với dấu vân tay của người dùng hợp pháp.

Cụ thể, cảm biến ELAN được phát hiện dễ bị tổn thương do việc thiếu hỗ trợ cho giao thức an toàn (SDCP). Điều này cho phép thiết bị USB giả dạng cảm biến và tuyên bố rằng người dùng được ủy quyền đang đăng nhập. Đối với Synaptics, SDCP có thể bị tắt, và giao thức TLS cũng có thể được tận dụng để vượt qua xác thực sinh trắc học.

Để giảm thiểu rủi ro, các nhà sản xuất thiết bị gốc (OEM) khuyến cáo người dùng kích hoạt SDCP và đảm bảo triển khai cảm biến vân tay được kiểm tra bởi các chuyên gia có chuyên môn cao. Điều này sẽ giúp đảm bảo tính an toàn và bảo mật của các hệ thống xác thực sinh trắc học.

Mặc dù Windows Hello đã đối mặt với những thách thức mới, Microsoft vẫn đang tích cực làm việc để cải thiện tính an toàn và bảo mật của hệ thống. Các nhà nghiên cứu nhấn mạnh rằng việc hiểu rõ về cách thức tấn công có thể giúp ngành công nghiệp ngày càng nâng cao biện pháp bảo vệ và đối phó với những thách thức ngày càng phức tạp từ các hacker và nhóm tội phạm mạng.

Duy Trinh (t/h)