Windows Hello: Sicherheitsforscher umgehen Authentifizierung der Fingerabdruck

Der Sicherheitsanbieter Blackwing Intelligence hat im Auftrag von Microsoft die Sicherheit von in Laptops integrierten Fingerabdruckscannern untersucht, die für die Authentifizierung per Windows Hello genutzt werden. Dabei wurden mehrere Schwachstellen entdeckt, mit denen es möglich war, die Windows-Hello-Anmeldung vollständig zu umgehen.

Für die Untersuchung mussten neben einem Microsoft Surface Pro Type Cover mit Fingerabdruckscanner (für ein Surface Pro 8/x) auch ein Dell Inspiron 15 sowie eine Lenovo ThinkPad T14 herhalten. Alle drei Geräte verfügen über sogenannte „Match on Chip“-Sensoren, bei denen die biometrischen Daten sicher im Chip gespeichert und auch dort abgeglichen werden. Das soll einen Schutz der biometrischen Daten selbst auf kompromittierten Geräten gewährleisten. Hergestellt wurden die Sensoren von ELAN, Synaptics und Goodix.

Linux als Einfallstor

Diese Technik ist allerdings nicht unfehlbar. Unter anderem könnte ein schädlicher Sensor die Kommunikation mit dem Host-Geräte imitieren oder den Datenverkehr zwischen dem Sensor und dem Host aufzeichnen und für eine spätere Anmeldung wiedergeben. Diese Angriffe umgeht Microsoft mit dem Secure Device Connection Protocol (SDCP), dass die Kommunikation zwischen Sensor und Host-Gerät schützt.

Allerdings ist dieses Protokoll nicht in Linux implementiert, wie die Forscher herausfanden. Das erlaubte es ihnen, unter anderem per Reverse-Engineering die Verschlüsselung zu knacken und eine gültige ID zu ermitteln und den Fingerabdruck einer unbefugten Person mit einer ID einer legitimen Windows-Benutzers zu registrieren. Zudem stellten sie fest, dass der Synaptics-Sensor im Lenvo-Gerät einen eigenen TLS-Stack statt SDCP für die Absicherung der USB-Kommunikation zwischen Fingerabdruckscanner und Gerät nutzt.

Fehlerhafte Implementierung erlaubt Spoofing

Beim ELAN-Sensor des Surface-Geräts fehlte der Analyse zufolge sogar der Schutz durch SDCP. Stattdessen erfolgte die USB-Kommunikation zwischen Sensor und Gerät im Klartext. Die Forscher mussten also lediglich die Verbindung zum integrierten Sensor kappen, um per Spoofing mit einem falschen Fingerabdrucksensor eine gültige Login-Antwort an das Gerät zu senden.

„Microsoft hat bei der Entwicklung von SDCP gute Arbeit geleistet, um einen sicheren Kanal zwischen dem Host und den biometrischen Geräten zu schaffen, aber leider scheinen die Gerätehersteller einige der Ziele falsch zu verstehen“, so die Forscher. „Darüber hinaus deckt SDCP nur einen sehr engen Bereich des Betriebs eines typischen Geräts ab, während die meisten Geräte eine beträchtliche Angriffsfläche bieten, die von SDCP überhaupt nicht abgedeckt wird.“

Die Forscher gehen davon aus, dass auch die Firmware der untersuchten Sensoren angreifbar ist. Diese sei zwar bei allen drei Herstellern verschlüsselt, die Code-Qualität erschien den Forscher jedoch als „allgemein schlecht“. Sie gehen von einer hohen Wahrscheinlichkeit aus, dass alle drei Sensoren anfällig für Speicherfehler sind.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Europäischer Smartphonemarkt schrumpft 3 Prozent im vierten Quartal

Es ist allerdings der geringste Rückgang seit dem vierten Quartal 2021.Apple profitiert mehr von der…

25 Minuten ago

Deutschland in Europa am dritthäufigsten von Ransomware betroffen

Bericht "Hi-Tech Crime Trends 23/24" von Group-IB zeigt, dass Fertigung, Immobilien und Logistik im Fokus…

3 Tagen ago

Copilot for Finance

Das Add-on für Microsoft 365 bietet KI-gestützte, rollenspezifische Workflow-Automatisierung, Empfehlungen sowie geführte Aktionen im Arbeitsablauf.

3 Tagen ago

Confare #ImpactChallenge 2024 – jetzt einreichen und nominieren!

Mit der #ImpactChallenge holt die IT-Plattform Confare IT-Verantwortliche auf die Bühne, die einen besonderen Impact…

4 Tagen ago

KI-Bots und Menschen werden immer öfter verwechselt

Forscher der University of Notre Dame haben eine Studie mit KI-Bots durchgeführt.

4 Tagen ago

Qakbot lebt und bleibt gefährlich

Sophos X-Ops hat eine neue Variante der Qakbot-Malware entdeckt und analysiert.

5 Tagen ago