Numa era em que gigantes da tecnologia, como a Microsoft, promovem a transição para biometria como uma alternativa mais segura às senhas convencionais, uma recente pesquisa revela que nem mesmo os sistemas biométricos estão imunes a vulnerabilidades.
As vulnerabilidades em sistemas biométricos
A empresa de inteligência Blackwing Intelligence compartilhou recentemente conceitos que demonstram a capacidade de contornar a autenticação de impressões digitais do Windows Hello em alguns dos laptops mais populares do mercado. Em cada caso, a falha principal estava na comunicação entre o leitor de impressões digitais e o restante do sistema.
A Microsoft colaborou com pesquisadores da Blackwing Intelligence para testar as implementações do Windows Hello em três modelos líderes de laptops com sensores de impressões digitais: um Dell Inspiron 15, um Lenovo ThinkPad T14 e um teclado destacável com sensor de impressão digital para o Microsoft Surface Pro. A Blackwing conseguiu comprometer todos os três usando métodos variados, nenhum dos quais envolveu técnicas típicas de hackeamento biométrico, como o uso de fotos.
Para evitar que invasores copiem dados biométricos, como impressões digitais ou varreduras faciais, autenticadores de empresas como a Microsoft mantêm as informações em chips separados, inacessíveis ao armazenamento principal do dispositivo. No entanto, esses chips ainda precisam informar ao sistema operacional quando recebem a assinatura correta, sendo esse o ponto fraco explorado pelos pesquisadores.
A Microsoft desenvolveu um sistema chamado Protocolo de Conexão Segura de Dispositivos (SDCP) para proteger a conexão entre os sensores de impressões digitais e seus dispositivos hospedeiros. No entanto, dos produtos testados pela Blackwing, apenas o Dell Inspiron o utilizava, e sua implementação não era perfeita.
A vulnerabilidade desse dispositivo está na capacidade de dual boot entre Windows e Linux, que certifica as impressões digitais de maneira diferente. A Blackwing descobriu que um invasor poderia registrar sua impressão digital no Linux e associá-la ao ID do Windows de outra pessoa, embora o processo seja complexo e exija hardware adicional, incluindo um Raspberry Pi 4.
Leia também: As principais vulnerabilidades de software em 2023
O ThinkPad foi comprometido de maneira semelhante, com uma negociação entre Windows e Linux, mas os pesquisadores descobriram que a Lenovo envia o notebook com o SDCP desativado. Em vez disso, a empresa utiliza um sistema personalizado que descriptografa os dados da impressão digital com uma chave baseada no nome do produto e número de série de cada máquina.
O acessório do Surface Pro da Microsoft apresenta particularmente baixa segurança para seu sensor de impressão digital. Ele também não utiliza o SDCP e comunica-se em texto simples sem camadas adicionais de autenticação. Os pesquisadores descobriram que poderiam falsificar um ID usando praticamente qualquer dispositivo USB.
A Blackwing planeja divulgar mais detalhes de sua pesquisa eventualmente. O grupo sugere que os fabricantes de equipamentos originais (OEMs) que utilizam o Windows Hello ativem o SDCP e testem suas implementações minuciosamente. No entanto, dado que os exploits exigem acesso físico a cada dispositivo, os logins biométricos continuam sendo mais seguros do que as senhas convencionais.
