Windows 10 : des chercheurs parviennent à tromper Windows Hello !

Des chercheurs en sécurité sont parvenus à tromper Windows Hello, le système d'authentification biométrique de Microsoft, avec une simple photo infrarouge. Que s'est-il passé ?

Si vous avez une machine Windows 10 et une Webcam compatible Windows Hello, vous pouvez vous authentifier grâce à la reconnaissance faciale, ce qui est super pratique ! Cela évite d'avoir à saisir son mot de passe pour ouvrir ou déverrouiller sa session. Néanmoins, comme tout système, celui-ci à ses limites en termes de sécurité. D'autant plus que Microsoft doit assurer la compatibilité entre Windows Hello et de nombreux modèles de Webcam.

Pour que la Webcam soit compatible avec Windows Hello, elle doit être équipée d'un capteur infrarouge. C'est notamment le cas sur les Surface Pro, les ordinateurs hybrides de chez Microsoft.

Des chercheurs en sécurité de chez CyberArk sont à l'origine de cette trouvaille, et Omer Tsarfati, explique qu'ils sont parvenus à tromper le système d'authentification Windows Hello avec une simple photo infrarouge de la personne. Ensuite, l'attaquant peut accéder à la session et à toutes les données de l'utilisateur. Clairement, il y a un souci dans le processus de vérification des données au niveau de Windows Hello.

Pour l'anecdote, on retiendra que Omer Tsarfati a pris une photo de Bob l'Éponge pour ses tests. Du coup, on peut se demander si Bob l'Éponge était présent physiquement pour enregistrer les informations biométriques la première fois. Ahah.

Plus sérieusement, bien que cette attaque soit simple d'apparence, il faut avoir la machine entre les mains et avoir une photo infrarouge d'une bonne qualité pour que l'attaque réussisse. Microsoft considère cette attaque comme très complexe à mettre en œuvre, probablement car elle nécessite un accès physique sur le PC.

La bonne nouvelle, c'est que le Patch Tuesday de Juillet 2021 publié par Microsoft contient un correctif pour cette faille de sécurité au sein de Windows Hello. Cette vulnérabilité est associée à la référence CVE-2021-34466. Ce correctif s'applique à toutes les versions de Windows 10 encore sous support.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau et cofondateur d'IT-Connect. Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian a publié 3118 articlesVoir toutes les publications de cet auteur

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

 

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.