Come superare il riconoscimento facciale di Windows Hello con un dispositivo USB

Tra gli aggiornamenti di sicurezza distribuiti da Microsoft questo mese ve n’è anche uno che riguarda gli utenti di Windows 10 e permette di scongiurare tentativi di attacco utilizzati per superare il riconoscimento facciale di Windows Hello.

La problematica era stata scoperta da Omer Tsarfati (CyberArk Labs) a metà marzo scorso, indicata come importante da Microsoft e classificata con l’identificativo CVE-2021-34466.

Il ricercatore ha spiegato che la vulnerabilità permette ad un aggressore che disponga di accesso fisico al dispositivo altrui di manipolare il processo di autenticazione catturando o ricreando una foto del volto della vittima.
Collegando successivamente un dispositivo USB personalizzato allo stesso sistema, il malintenzionato può indurre Windows 10 a ritenere che il device connesso con il sistema sia una fotocamera digitale e inviare varie foto della vittima sbloccando così la macchina.

“Non abbiamo prove che questo attacco sia stato mai utilizzato ma potrebbe essere sfruttato da un aggressore interessato ad accedere al sistema di un ricercatore, un attivista, un giornalista o un soggetto di elevato profilo“.

Pur riconoscendo la gravità del problema, adesso risolto, Microsoft ha voluto puntualizzare che non tutti i sistemi sono vulnerabili: i dispositivi che montano sensori biometrici con supporto per la “sicurezza avanzata per l’accesso” (in inglese Enhanced Sign-in Security) non sono interessati dal problema.
L’azienda di Redmond suggerisce di verificare con il produttore del dispositivo l’effettiva compatibilità con le specifiche Enhanced Sign-in Security.

Nell’analisi pubblicata sul blog di CyberArk, ora che il problema è stato risolto con una patch ufficiale, Tsarfati spiega per filo e per segno la procedura per aggredire Windows Hello.

Rimane sempre valido il consiglio di proteggere il contenuto delle unità di memorizzazione, compresa quella che ospita il sistema operativo, con BitLocker o con una soluzione analoga.
Diversamente è facile porre in essere un efficace attacco per accedere al sistema senza conoscere la password di alcun account utente.