Investigadores ultrapassam Windows Hello em portáteis da Microsoft, Dell e Lenovo

Num desafio lançado pela própria Microsoft, investigadores de segurança descobriram falhas que permitem ultrapassar a autenticação por impressões digitais em portáteis da Dell, Lenovo, e da própria Microsoft.

Os investigadores centraram as atenções sobre os próprios sensores de impressões digitais usados em portáteis como os Dell Inspiron, Lenovo ThinkPad e Microsoft Surface Pro X, fornecidos por empresas como a ELAN, Synaptics, e Goodix. Apesar do sensor em si contar com algumas protecções de segurança, os investigadores descobriram que nem todos os fabricantes implementaram protocolos de comunicação seguros, permitindo que atacantes possam falsificar comunicações legítimas do sensor com o computador, de modo a enganar o sistema e levá-lo a pensar que está na presença de um utilizador autenticado, quando não é o caso - e com isso ultrapassando a autenticação Windows Hello.

Embora o ataque seja tecnicamente complexo, obrigando a lidar com reverse-engineering de hardware e software, é algo que ficou demonstrado ser possível, e que irá obrigar os fabricantes a reverem a forma como protegem a comunicação entre o sensor de impressões digitais e o sistema. Dá-se até o caso curioso de, nalguns casos, os fabricantes nem sequer estarem a utilizar o Secure Device Connection Protocol (SDCP) desenvolvido pela Microsoft.

Em 2020 a Microsoft dizia que o Windows Hello já era utilizado por quase 85% dos utilizadores Windows 10, face aos 69% que lhe davam uso em 2019, e é de imaginar que actualmente esse número tenha aumentado ainda mais. Por isso mesmo, importa assegurar que o sistema seja o mais seguro possível, e não apenas algo que cria uma falsa ilusão de segurança.