Сегодня 28 марта 2024
18+
MWC 2018 2018 Computex IFA 2018
реклама
Теги → пальцы

Найден способ взлома ноутбуков со сканерами отпечатков пальцев и Windows Hello

Защиту Windows Hello с использованием сканеров отпечатков пальцев удалось обойти — уязвимости обнаружились на ноутбуках Dell, Lenovo и даже Microsoft. Эксперты по безопасности из компании Blackwing Intelligence обнаружили бреши защиты в сканерах отпечатков пальцев трёх крупнейших производителей — эти компоненты встраиваются в ноутбуки и широко используются предприятиями с системой аутентификации Windows Hello.

 Источник изображения: Gerd Altmann / pixabay.com

Источник изображения: Gerd Altmann / pixabay.com

Исследование Blackwing Intelligence проводилось по заказу подразделения Microsoft MORSE: компании было поручено оценить защиту сканеров отпечатков пальцев, и она представила свои выводы на конференции Microsoft BlueHat в октябре. В качестве объектов исследования были выбраны сканеры Goodix, Synaptics и ELAN — они оказались недостаточно защищёнными, а исследователи подробно описали процесс создания USB-устройства для осуществления атаки класса MitM (man-in-the-middle).

Эксперты осуществили взлом защищённых при помощи сканера отпечатков пальцев ноутбуков Dell Inspiron 15, Lenovo ThinkPad T14 и Microsoft Surface Pro X. Они провели реверс-инжинирнг программного и аппаратного компонентов защиты и обнаружили, в частности, уязвимости в криптографической реализации TLS на сканере Synaptics. При обходе защиты Windows Hello проводилось декодирование и повторное внедрение проприетарных протоколов. «Microsoft проделала хорошую работу при создании протокола безопасного подключения устройств (SDCP) для обеспечения безопасного канала между хостом и биометрическими устройствами, но, к сожалению, производители устройств, кажется, неверно понимают некоторые цели. Кроме того, SDCP покрывает лишь узкую область операций типичного устройства, а поверхность атаки на большинство устройств вообще не покрывалась SDCP», — прокомментировали своё открытие эксперты Blackwing Intelligence.

Исследователи обнаружили, что на двух из трёх целевых устройствах защита Microsoft SDCP вообще не была включена. В этой связи производителям ноутбуков рекомендовали убеждаться, что протокол SDCP активирован и проводить проверку реализации сканера отпечатков пальцев при участии квалифицированного эксперта. Blackwing Intelligence также изучили уязвимости прошивок на сканерах к атакам с нарушением целостности памяти, а также защищённость сканеров отпечатков пальцев на продукции Apple и устройствах под управлением Linux и Android.

Android-смартфоны оказалось можно взломать бесконечным перебором отпечатков пальцев

Учёные Tencent Labs и Чжэцзянского университета (КНР) открыли способ взломать защиту сканера отпечатков пальцев на смартфоне, используя метод брутфорс. Для этого необходимы физический доступ к устройству и достаточно времени.

 Источник изображения: Lukenn Sabellano / unsplash.com

Источник изображения: Lukenn Sabellano / unsplash.com

В устройствах под управлением Android, основанной на ней HarmonyOS, а также в очень ограниченных масштабах в Apple iOS, присутствуют две уязвимости «нулевого дня», обозначенные как Cancel-After-Match-Fail («отмена после несовпадения») и Match-After-Lock («сверка после блокировки»). Эксплуатируя эти уязвимости, исследователям удалось заставить мобильные устройства принимать бесконечное количество попыток сканирования отпечатков пальцев, а также использовать академические базы данных, базы утечек биометрии и прочие источники.

Для осуществления атак гипотетическим злоумышленникам требуется физический доступ к смартфону и оборудование стоимостью $15. При осуществлении атаки, которую эксперты назвали BrutePrint, при использовании взламывающего оборудования с поддержкой одного отпечатка пальцев требуется от 2,9 до 13,9 часа — если оборудование поддерживает несколько записанных отпечатков, время в среднем составляет от 0,66 до 2,78 часа.

Исследователи испытали технологию на десяти «популярных моделях смартфонов» и на паре iPhone. Названия моделей не приводятся, но учёные сообщили, что для устройств под Android и HarmonyOS им удалось добиться бесконечного числа попыток, а вот для гаджетов под iOS — это были iPhone SE и iPhone 7 — удалось добиться лишь десяти дополнительных, чего явно недостаточно для взлома.

Авторы исследования делают вывод, что метод BrutePrint едва ли окажется привлекательным для обычного киберпреступника, а вот для государственных структур он вполне подойдёт.

Samsung повысит безопасность сканера отпечатков пальцев в 2,5 млрд раз к 2025 году

По сообщениям сетевых источников, южнокорейская компания Samsung работает над тем, чтобы повысить безопасность сканеров отпечатков пальцев, используемых в современных смартфонах и планшетах. Если сейчас интегрируемые в область экрана сканеры способны считывать отпечаток одного пальца, то в будущем Samsung намерена создать более продвинутые модели, которые смогут одновременно считывать отпечатки нескольких пальцев. Это сделает технологию значительно более надёжной и безопасной.

 Источник изображения: sammobile.com

Источник изображения: sammobile.com

По данным источника, Samsung планирует подготовить технологию одновременного сканирования отпечатков нескольких пальцев для использования в смартфонах в течение двух лет. Напомним, несколько месяцев назад на мероприятии IMID Samsung объявила о разработке универсального решения для распознавания отпечатков пальцев, предназначенного для использования в дисплеях следующего поколения (OLED 2.0). Ожидается, что именно эта технология позволит смартфонам и планшетам Samsung одновременно считывать несколько отпечатков. В сообщении сказано, что технологический гигант планирует начать внедрение этой технологии в 2025 году.

По данным Samsung Display, одновременное использование трёх отпечатков пальцев для аутентификации в 2,5 млрд раз безопаснее по сравнению со сканированием только одного пальца. Помимо этого очевидного преимущества, технология Samsung будет работать на всей поверхности дисплея, а не на отдельной его части. Пользователям смартфонов и планшетов Samsung больше не нужно будет заботиться о том, чтобы располагать пальцы в нужном месте для прохождения аутентификации, поскольку вся площадь экрана сможет выступать в качестве сканера.


window-new
Soft
Hard
Тренды 🔥
Аппаратные требования больших языковых моделей ИИ сокращаются вдвое каждые восемь месяцев 55 мин.
Sega подтвердила массовые увольнения и продажу Relic Entertainment — разработчики Company of Heroes и Warhammer 40,000: Dawn of War вновь станут независимыми 2 ч.
Hellgate: London спустя 17 лет получит продолжение на Unreal Engine 5 — первые подробности Hellgate: Redemption 3 ч.
Take-Two Interactive купит Gearbox у Embracer Group за $460 миллионов — подтверждена новая Borderlands 3 ч.
Amazon.com инвестирует в ИИ-стартап Anthropic дополнительно $2,75 млрд 14 ч.
Хакеры нашли, как завалить iPhone запросами о сбросе пароля, и стали пользоваться этим для фишинга 15 ч.
Новый бенчмарк — новый рекорд: NVIDIA подтвердила лидерские позиции в MLPerf Inference 16 ч.
Sony подтвердила линейку игр PS Plus на апрель — магический шутер, экшен-стратегия в мире Minecraft и роглайк в стиле Dead Cells 16 ч.
В Великобритании собрались подвести законодательную базу под мемы про криптовалюты 16 ч.
Google представила новые ИИ-функции в картах и поиске — они помогут путешественникам 16 ч.
В Сеть утекли фотографии белой Xbox Series X без дисковода 2 ч.
По итогам текущего года тайваньские контрактные производители чипов увеличат выручку на 20 % 2 ч.
С 1 апреля порог беспошлинного ввоза товаров снизится до €200 — электроника подорожает на 15–20 % 2 ч.
Госдума приняла закон о свободном доступе интернет-провайдеров в многоквартирные дома 3 ч.
В этом году доля электромобилей китайского производства на рынке Европы превысит 25 % 3 ч.
Эксперты: создать российскую Xbox непросто, но выпустить аналог Steam Deck — решаемая задача 3 ч.
Первый электромобиль Xiaomi за год найдёт не более 50 000 покупателей 4 ч.
Цепляющаяся за жизнь Fisker снизила цены на свои электромобили на величину до 39 % 8 ч.
Процессор Qualcomm Snapdragon X Elite обеспечил в играх Baldur’s Gate 3 и Control выше 30 кадров в секунду 10 ч.
Atos планирует достичь соглашения о реструктуризации долгов к июлю 12 ч.