Beveiligingsonderzoekers ontdekken groot lek in Windows Hello

Antony Wu 18 juli 2021 19:56

Microsoft heeft beveiligingsupdates uitgebracht om Windows Hello-probleem met 'CVE-2021-34466' aan te pakken. Door het lek kon de beveiligingsfunctie worden omzeild in de biometrie gebaseerde technologie van Windows Hello.

Criminelen konden hierdoor de identiteit van een doelwit vervalsen en het mechanisme voor gezichtsherkenning misleiden zodat toegang kon worden verkregen.

Beveiligingsonderzoekers van CyberArk Labs ontdekten dat ze Windows Hello konden misleidden met behulp van een infraroodframe van het doel en ten minste één rgb-frame dat schijnbaar iets anders bevat:
"De kwetsbaarheid stelt een aanvaller met fysieke toegang tot het apparaat in staat om het authenticatieproces te manipuleren door een foto van het gezicht van het doelwit te maken of opnieuw te maken en vervolgens een aangepaste usb-apparaat aan te sluiten om de vervalste afbeeldingen in de host te injecteren."

Volgens Microsoft is het aantal klanten dat gebruik maakt van Windows Hello in 2019 gegroeid van 69,4 procent naar 84,7 procent. Het bedrijf heeft helaas niet onthuld welk percentage van die gebruikers afhankelijk is van deze authenticatiemethode.

Bronnen: CyberArk, Microsoft