تحاول شركة مايكروسوفت جاهدة إقناع مستخدمي نظام ويندوز بالتحول من استخدام كلمات المرور إلى نظام Hello للقياسات الحيوية. إلا أن الباحثين الذين ترعاهم الحكومة الألمانية اكتشفوا خللًا خطيرًا في تنفيذ النظام في مجال الأعمال.

تحذير من نظام Hello

في عرض تقديمي في مؤتمر Black Hat في لاس فيجاس. أظهر الدكتور بابتيست ديفيد وتيلمان أوسوالد. من شركة ERNW Research الأمنية المستقلة. كيف يمكن لأي شخص اختراق نظام Hello.

بالإضافة إلى كيف يمكن للمسؤول المحلي، أو أي شخص لديه إمكانية الوصول إلى بيانات الاعتماد الخاصة به عبر البرامج الضارة أو وسائل أخرى. من خلال حقن المعلومات البيومترية في جهاز كمبيوتر ما من شأنها أن يسمح بالتعرف على أي وجه أو بصمة إصبع.

يدعم Hello المصادقة لمستخدمي الأعمال، ما يسمح لأجهزة الكمبيوتر في الشركات بالارتباط بمنصات مثل Entra ID أو Active Directory لإتاحة الوصول إلى الخوادم.

ويتم ذلك عن طريق تخزين مفتاح تشفير في قاعدة بيانات مرتبطة بخدمة Windows Biometric Service من مايكروسوفت.

في حين تحمي CryptProtectData قاعدة البيانات. لكن الثنائي وجد أنه من الممكن لشخص لديه حق الوصول إلى المسؤول المحلي أن يكسر التشفير باستخدام المعلومات الموجودة في البرنامج.

مع ذلك، توفر مايكروسوفت أيضًا أمان تسجيل الدخول المحسن “ESS”. الذي يعمل بمستوى ثقة افتراضي أعلى للمشرف الافتراضي “VTL1”. الذي من المفترض أن يمنع الهجوم، وهو مفعل افتراضيًا. للأسف، لا تدعم جميع أجهزة الكمبيوتر هذه الميزة.

فيما صرح “أوزوالد” أن نظام ESS فعال للغاية في صد هذا الهجوم، ولكن ليس بإمكان الجميع استخدامه.

على سبيل المثال، استعرض الاثنان الخلل مباشرةً على المسرح. فيما سجل ديفيد الدخول باستخدام مسح ضوئي للوجه.

رقم التعريف الشخصي “PIN”

ثم، باستخدام سطرين من التعليمات البرمجية، تمكن أوزوالد من إدخال مسح ضوئي للوجه أجراه على جهاز آخر في قاعدة البيانات، وفتح جهاز ديفيد فورًا.

أفادوا بصعوبة إصلاح هذه المشكلة، ويتطلب ذلك إعادة كتابة برمجية شاملة أو محاولة استخدام وحدة TPM لتخزين البيانات البيومترية.

علاوة على أنه أمر قد لا يكون ممكنًا. وهذا جعلهم يوصون في حال استخدام Hello for Business دون ESS، بتعطيل البيانات البيومترية والاستمرار في تسجيل الدخول باستخدام رقم التعريف الشخصي “PIN“.

المصدر: theregister.