Vulnerabilidade no Windows Hello abre porta a atacantes

A autenticação biométrica é uma peça-chave para a construção de um futuro digital sem passwords, que garante a segurança de dados. Contudo, os investigadores descobriram um novo método que permite a terceiros aceder ao sistema, enganando o reconhecimento facial Windows Hello da Microsoft, ao utilizar fotografias infravermelhas e hardware de terceiros para enganar a webcam.

A FaceID da Apple popularizou a autenticação biométrica nos últimos anos, no entanto, a tecnologia apenas pode ser utilizada nos iPhones e iPads mais recentes e não funciona em ambiente Mac. Os investigadores da empresa de segurança CyberArk perceberam que é nesse aspeto que surge o problema com o sistema da Microsoft, visto que a diversidade do hardware Windows permite a utilização de webcams exteriores que criam potenciais vulnerabilidades.

O reconhecimento facial do Windows Hello funciona apenas em webcams que têm um sensor infravermelho, para além do sensor RGB. Contudo, os investigadores descobriram que o sistema não revê a informação do RGB, o que significa que com uma fotografia infravermelha de um utilizador e uma frame preta permite o acesso ao dispositivo supostamente seguro da vítima. “Tentamos encontrar o ponto mais fraco no reconhecimento facial e o que seria mais interessante do ponto de vista do atacante, a opção mais acessível”, afirma Omer Tsarfati, investigador da CyberArk.

Ao manipular um USB da webcam para entregar a fotografia escolhida pelo criminoso, o Windows Hello desbloqueia o sistema. Tsarfati explique que criaram “um mapa completo do fluxo de reconhecimento facial do Windows Hello e vimos que o mais conveniente para um invasor seria fingir ser a câmara, porque todo o sistema depende dessa entrada”.

No entanto, a CyberArk explica também que avançar com a estratégia de hacking não será fácil de executar na prática, pelo que requer uma imagem infravermelha de qualidade do utilizador e acesso físico ao dispositivo. “Um atacante muito motivado pode fazer essas coisas”, diz Tsarfati, e acrescenta que “foi ótimo trabalhar com a Microsoft e produziu mitigações, mas o problema é mais profundo e diz respeito à confiança entre o computador e a câmara”.

A Microsoft chamou à descoberta de “vulnerabilidade de desvio do recurso de segurança do Windows Hello” e lançou patches para resolver o problema. A empresa recomendou ainda que os utilizadores aproveitem a "segurança de login aprimorada do Windows Hello", que recorre à "segurança baseada em virtualização" da Microsoft para encriptar os dados faciais do Windows Hello e processá-los numa área protegida da memória onde não podem ser infiltrados.

Tsarfati explica que a equipa da CyberArk decidiu analisar o Windows Hello pelo seu alcance, que a Microsoft diz ser de quase 150 milhões de utilizadores. Segundo a big tech, 84,7% dos utilizadores de Windows 10 entram no sistema através da opção de reconhecimento facial.