ثغرة أمنية تسمح بالوصول إلى الكمبيوتر الشخصي دون بصمة الإصبع

[إعلان 1]

وبحسب موقع Neowin ، كشف فريق Blackwell Intelligence عن نتائجهم في أكتوبر/تشرين الأول الماضي خلال مؤتمر BlueHat الأمني الذي نظمته شركة Microsoft، لكنهم لم ينشروا النتائج على موقعهم الإلكتروني إلا هذا الأسبوع. وتقول تدوينة المدونة، التي تحمل عنوان "لمسة من Pwn"، إن الفريق استخدم مستشعرات بصمات الأصابع داخل أجهزة الكمبيوتر المحمولة Dell Inspiron 15 وLenovo ThinkPad T14، بالإضافة إلى أغطية Microsoft Surface Pro Type Covers المزودة بمعرف بصمة الإصبع المصممة خصيصًا لأجهزة Surface Pro 8 وX. وتم تصنيع مستشعرات بصمات الأصابع المحددة بواسطة Goodix وSynaptics وELAN.

Lỗ hổng bảo mật cho phép truy cập PC không cần dấu vân tay - Ảnh 1. — استغرق بلاكويل حوالي ثلاثة أشهر من البحث لاكتشاف ثغرة أمنية في Windows Hello.

تستخدم جميع مستشعرات بصمات الأصابع الممكّنة بنظام Windows Hello والتي قمنا باختبارها أجهزة تعتمد على شريحة، مما يعني أن المصادقة تتم على المستشعر نفسه، والذي يحتوي على شريحة وتخزين خاصين به.

وفي بيانه، قال بلاكويل إن قاعدة بيانات "قوالب بصمات الأصابع" (البيانات الحيوية التي يلتقطها مستشعر بصمات الأصابع) مخزنة على الشريحة ، ويتم التسجيل والمطابقة مباشرة في الشريحة. نظرًا لأن أنماط بصمات الأصابع لا تخرج أبدًا من الشريحة، فإن هذا يزيل مخاوف الخصوصية حيث يتم تخزين البيانات الحيوية بشكل آمن. ويمنع هذا أيضًا الهجمات التي تتضمن إرسال صورة بصمة إصبع صالحة إلى الخادم للمقارنة.

لكن بلاكويل نجح في تجاوز النظام باستخدام الهندسة العكسية للعثور على ثغرة في مستشعر بصمات الأصابع، ثم قام بإنشاء جهاز USB خاص به لتنفيذ هجوم الوسيط (MitM). يتيح هذا الجهاز للمجموعة تجاوز أجهزة مصادقة بصمة الإصبع في تلك الأجهزة.

وبحسب بلاكويل أيضًا، على الرغم من أن مايكروسوفت تستخدم بروتوكول اتصال الجهاز الآمن (SDCP) لتوفير قناة آمنة بين الخادم والجهاز الحيوي، إلا أن اثنين من أجهزة استشعار بصمات الأصابع الثلاثة التي تم اختبارها لم يتم تمكين SDCP بها حتى. يوصي بلاكويل جميع شركات مستشعرات بصمات الأصابع ليس فقط بتمكين SDCP على منتجاتها، بل أيضًا بالاستعانة بشركة خارجية لضمان عملها.

أحد الأشياء التي يجب ملاحظتها هو أن الأمر استغرق من بلاكويل حوالي 3 أشهر من العمل الجاد لتجاوز منتجات أجهزة بصمات الأصابع هذه. ولم يتضح بعد كيف ستتمكن مايكروسوفت وشركات استشعار بصمات الأصابع الأخرى من إصلاح المشكلة استنادًا إلى هذا البحث.

[إعلان 2]
رابط المصدر