指纹身份验证非常容易被绕过

最新研究表明，当今许多顶级商务笔记本电脑上的指纹安全系统可能并不像最初想象的那么可靠。

微软进攻研究和安全工程(MORSE)最近将一组研究目标交给BlackwingIntelligence，任务是破解其安全性。

研究目标是三台配备市场上排名前三的指纹传感器的Windows笔记本电脑，用于通过WindowsHello识别用户并授予用户访问权限。该公司不仅成功破解了所有三台笔记本电脑，而且以一些令人惊讶和直观的方式做到了这一点。

BlackwingIntelligence获得了三台笔记本电脑;戴尔灵越15;联想ThinkPadT14;以及带指纹识别功能的MicrosoftSurfacePro专业键盘盖。

在Blackwing的三个月内，该公司使用各种越来越有创意的方法成功破解了所有三台笔记本电脑，然后将漏洞报告给MORSE。

由于编码质量差、明文通信以及良好的USB和Linux支持等多种因素，Inspiron15被确定为特别容易受到攻击的目标。

通过使用RaspberryPi4(RP4)作为中间人(MitM)设备，他们发现能够断开指纹传感器，然后使用RP4枚​​举Windows数据库中的指纹，注册自己的指纹进入Linux数据库(在此过程中将其列为有效的Windows用户)，然后将指纹传感器转移到Linux数据库，然后该数据库提取经过身份验证的指纹并授予访问权限。

BlackWing在其博客中总结道：“生物识别身份验证对于让用户方便地登录非常有用。

“微软在安全设备连接协议(SDCP)的设计上做得很好，可以在主机和生物识别设备之间提供安全通道，但不幸的是，设备制造商似乎误解了一些目标，”它指出。

“此外，SDCP仅覆盖典型设备操作的非常狭窄的范围，而大多数设备都暴露出相当大的攻击面，而SDCP根本没有覆盖这些攻击面。

“最后，我们发现我们的目标设备中有三分之二甚至没有启用SDCP。”

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！