News Dell, Lenovo und Microsoft: Forscher umgehen Login per Fingerabdruck unter Windows

[coffee4free]

Viele Windows-Nutzer vertrauen heutzutage auf die Anmeldung per Fingerabdruck. Die dafür erforderlichen Sensoren gehören in zahlreichen modernen Notebooks inzwischen zum Standard. Forschern ist es nun gelungen, den Biometrie-Login per Windows Hello auf Notebooks von Dell, Lenovo und Microsoft zuverlässig zu umgehen.

Zur News: Dell, Lenovo und Microsoft: Forscher umgehen Login per Fingerabdruck unter Windows

 

[Ehrmann2]

"Microsoft hat angeblich eine sichere Basis geschaffen" halte ich für eine unglückliche Formulierung. Sie haben es ja nachweislich geschaffen, nur ob sie ausreichend sicher ist, ist nicht klar. Also dann schreiben"Microsoft hat eine angeblich sichere Basis geschaffen." Kleiner Unterschied.

Unterm Strich blöd.. aber in Verbindung mit einer Smartcard für mich immer noch ok..

 

[Darklordx]

Da bin ich mal gespannt, wie das bei den MacBooks aussieht.

 

[Xiaolong]

Was der Artikel noch schuldig bleibt, muss ich den Laptop dafür physisch aufmachen, also Abdeckungen runter, oder wie kommt das Signal an den RasPi? Soweit ich das verstehe kann ich den USB ja nicht "abhören" wie bei CAN oder WiFi, wo die Pakete für alle jederzeit sichtbar sind. Bzw. wie mache ich aus dem RasPi einen HostController?

 

[FreshLemon]

Was der Artikel noch schuldig bleibt, muss ich den Laptop dafür physisch aufmachen, also Abdeckungen runter, oder wie kommt das Signal an den RasPi?

Ich habe den Artikel so verstanden, dass externe Fingerabdruckleser (über USB) gemeint sind.

 

[Ehrmann2]

Nein, es geht um die Integrierten, die offenbar intern über USB angebunden sind.

 

[sizeofanocean]

Wird im Video genau erklärt. Es geht um MitM auf USB. Ob intern oder extern angeschlossen spielt da pauschal keine Rolle, die meisten werden heutzutage die internen in Laptops sein.

 

[Axxid]

Computer sind nicht sicher, sobald jemand physischen Zugriff auf das Gerät hat. Also alles wie vorher. Keine Ahnung warum einfache Fingerabdrucksensoren daran etwas ändern sollten.

 

[khgffs]

der angreifer braucht physischen zugriff auf das gerät, der zugang zum sensor und das abhörgerät sind schwierig zu verstecken und dann muss der benutzer sich noch erfolgreich anmelden, damit der angreifer danach zugriff erhalten kann.
klingt jetzt nicht sehr kritisch, außer wenn das schon bei der produktion unsichtbar eingebaut wird.
aber da wäre ein bios-rootkit wohl einfacher.

 

[Xiaolong]

Ah OK verstanden....

To recap, these are our final exploit steps:

1. Disconnect embedded fingerprint sensor and plug into RPi4
2. ...

Gut, also eher nur bei gestohlenen Geräten einsetzbar. Da kann ich genausogut die Festplatte auch ausbauen. Es ist jetzt kein Angriff nach der Vorgehensweise:

Im Büro kurz RasPi anstecken » Einloggen » Daten klauen » Fertig, also halb so wild und keine große Gefahr....

@tox1c90: Ja genau, also "Fail by Design"

 

[tox1c90]

Wenn die Authentifizierung darauf basiert, dass der Chip nach dem Scan dem System einfach nur mitteilt „ja, passt!“, ist das natürlich per Design schon Käse. Diese „ja, passt!“-Message wird sich immer auf die ein oder andere Weise kopieren und einschleusen lassen.
Das muss schon so laufen wie z.B. bei einem TPM, dass der Chip bei erfolgreicher Authentifizierung eine Challenge beantwortet bzw. einen Einmalkey erzeugt, der begrenzt gültig ist und genau einmal verwendet werden kann um ins System zu kommen. Dann bringt MITM nichts, da abgegriffene Keys kein weiteres Mal nutzbar sind. Man kann sie zwar mitschneiden, aber der Mitschnitt ist wertlos.
Und neue Keys erzeugen und einschleusen geht auch nicht, weil das Secret dafür im Chip liegt und nicht bekannt ist, und dieser es nicht rausrückt.

 

[Boimler]

Ist wahrscheinlich einfacher, den Abdruck zu fälschen als einen Angriff auf den internen USB-Datenverkehr zu unternehmen. Sensible Informationen würde ich aber ohnehin nicht allein durch Fingerabdruck sichern.

 

[azereus]

Was der Artikel noch schuldig bleibt, muss ich den Laptop dafür physisch aufmachen

siehst du im YT-Video ab Minute 30:00

 

[22428216]

Bin da jetzt nicht so drin, aber würde eine verschlüsselte Verbindung zwischen Sensoreinheit und System nicht dieses MiM Problem lösen?

 

[Herdware]

Computer sind nicht sicher, sobald jemand physischen Zugriff auf das Gerät hat.

Trotzdem scheint das ein besonders einfacher Weg zu sein, um z.B. an den Inhalt einer verschlüsselten Festplatte eines "gefundenen" Notebooks zu kommen.

 

[|Moppel|]

kann ich genausogut die Festplatte auch ausbauen.

Wenn die Daten unverschlüsselt sind, klar.

Wenn ich mich mit dem fingerabdruck bei Windows hello anmelde, sollte aber auch BitLocker entschlüsselt werden.
Oder zumindest kann es so eingestellt sein.

Das ist dann natürlich ein Problem.

 

[Taigabaer]

Wozu Fingerabdruck auslesen? Windows ein paar mal per Hardreset/Stromverlust starten bis die Reparaturkonsole kommt und voila: Da kann man Windows resetten und ohne Passwort/Fingerprint starten. (Wenn ich das noch richtig in Erinnerung habe.) Da haben die ein Schloss geknackt von einem Tor welches schon lange offen steht.

Ergänzung (23. November 2023)

Wenn ich mich mit dem fingerabdruck bei Windows hello anmelde, sollte aber auch BitLocker entschlüsselt werden.
Oder zumindest kann es so eingestellt sein.

Wie geht das? Hatte es auch mal versucht vor längerer Zeit aber bin nicht weitergekommen.

 

[Herdware]

Wie geht das? Hatte es auch mal versucht aber bin nicht weitergekommen.

Ich weiß nicht, wie man es selbst/nachträglich einstellt, aber mein ASUS-Notebook (Vivobook Pro) war von Anfang an so eingerichtet.
Ist sehr bequem, aber scheint wohl nicht allzu viel Schutz zu bieten.

 

[Taigabaer]

Ach ich glaube ich erinnere mich: Ich wollt nicht dass Bitlocker automatisch mit den Windows-Login startet sondern dass erst, wenn ich ein BL-verschlüsseltes Laufwerk öffnen will, Windows nach dem Fingerabdruck fragt so wie es normalerweise nach dem Key fragt.

Also erst wenn ich unter Windows ein BL-verschlüsseltes Laufwerk öffnen will soll die Fingerprinteingabe starten.

 

[Ayo34]

Computer sind nicht sicher, sobald jemand physischen Zugriff auf das Gerät hat. Also alles wie vorher. Keine Ahnung warum einfache Fingerabdrucksensoren daran etwas ändern sollten.

Stimmt einfach nicht! Häufig wird eine Festplatte verschlüsselt in einem Notebook und da kommt dann auch keiner heran, außer er kennt den Schlüssel. Wenn der Schlüssel nun per Fingerabdruck eingegeben wird und dieser eine Sicherheitslücke hat, dann hast du auch ein Problem mit einer eigentlich verschlüsselten Festplatte.

Ähnlich ist es ja auch beim Smartphone. Dort liegen die Daten auch verschlüsselt und keiner kommt heran, auch wenn du dein Smartphone verloren hast. Um das Smartphone zu verwenden, musst du es normal zurücksetzen, dann sind aber die Daten weg.

-> Aus dem Grund wäre es auch wichtig, dass der Fingerabdruck sicher ist oder man muss eben eine andere Methode (jetzt) wählen.