Surface 9 (afb: Microsoft)
Al vele jaren geleden bleek dat biometrische systemen zoals vingerafdruksensoren verre van onfeilbaar zijn. Nu hebben onderzoekers maar weer eens bewezen dat die keiharde waarheid nog steeds geldt.
Een wachtwoord in combinatie met gebruikersnaam is nog steeds de manier om privé privé te houden, maar dat systeem is makkelijk te kraken. Vaak wordt er daarom een tweede muur (‘factor’) achter gezet zoals een bericht met een getal naar een bepaald telefoonummer of e-@dres. Op een gegeven moment werden biometrische gegevens als dé ‘poortwachter’ gezien, gebaseerd op het idee dat je gezicht, vingerafdruk of irispatroon (nagenoeg) uniek is, maar slimme gasten hebben die systemen al herhaaldelijk voor paal gezet.
Nu blijken onderzoekers van het digitale-beveiligingsbedrijf Blackwing Intelligence op uitnodiging van Microsoft de vingerafdrukbescherming van het bedrijf te hebben gekraakt. Het systeem, dat door Microsoft wordt gebruikt voor zijn Surface-klapdozen en voor Windows Hello, bevat volgens de onderzoekers diverse kwetsbaarheden.
In principe is het idee van het ontwerp volgens de onderzoekers helemaal niet slecht. De gegevens van de vingerafdruk worden op een aparte chip opgeslagen en die zijn niet via het besturingssysteem op te roepen. Daarnaast heeft Microsoft een beveiligingsprotocol ontwikkeld: Secure Device Connection Protocol (SDCP).
Geschokt
De onderzoekers waren echter geschokt te ontdekken dat dat protocol op de Surface-klapdoos standaard gedeactiveerd was. Ze konden relatief makkelijk een computer als vingerafdrukscanner aansluiten en die gegevens laten opslaan als afkomstig van de legitieme eigenaar van het apparaat. Bij Windows Hello op andere klapdozen was het verneuken van de ‘poortwachter’ ietwat lastiger, maar niet erg veel.
De onderzoekers stellen dat Microsoft met het protocol (SDCP) goed werk heeft afgeleverd, maar dan moet je dat dan wel gebruiken. Het was niet duidelijk of de kwetsbaarheden voor andere merken computers met Windows Hello te repareren zijn. Zo’n dubbelefactorbescherming is zo gek nog niet (denk ik=as dan).
Bron: der Spiegel