Graziano Salini
Sempre più laptop commercializzati durante il corso degli ultimi anni permettono di effettuare il login attraverso dati biometrici sfruttando Windows Hello. Da adesso in poi le cose si fanno un po’ più complicate.
C’erano una volta le password e in futuro ci saranno anche le passkey; nel mezzo però per poter effettuare l’accesso su vari servizi è necessario inventarsi sistemi di transizione e tra questi uno di quelli preferenziali è rappresentato dai dati biometrici.
Per dato biometrico, infatti, si intende una serie di informazioni legate a caratteristiche di tipo fisico, fisiologico o comportamentale legate in maniera univoca a una singola persona, così che questa risulti individuata e individuabile. Nel mondo dell’informatica consumer solitamente questi dati sono o la conformazione del volto (il faceID di Apple e sistemi simili, vengono immediatamente in mente) o le impronte digitali delle dita della mano (tutti in nostri smartphone hanno sistemi di questo tipo attivi).
I laptop da qualche anno a questa parte hanno iniziato a utilizzare sistemi di questa tipologia per semplificare le procedure di login e per snellire l’accesso ai servizi più delicati; tutto questo viene gestito da una coppia di elementi: da una parte i sensori che in input prendono i dati biometrici, dall’altro Windows Hello, ovvero una procedura di login a un computer con sistema operativo Microsoft tramite i sopracitati dati biometrici.
La compagnia di Redmond è ampiamente consapevole dell’importanza dell’offrire un servizio che sia sicuro oltre ogni ragionevole dubbio e, proprio per questo, ha ingaggiato BlackWing Intelligence. Questa è una società di ricerca legata al mondo della sicurezza informatica molto nota all’estero, che diverse volte ha trovato importanti vulnerabilità in sistemi informatici prima che queste divenissero note all’interno del sottobosco degli hacker.
Purtroppo per Microsoft qui sono cominciati i guai.
Fammi rubare queste impronte digitali
Secondo quanto riscontrato dai ricercatori di Blackwing (la ricerca completa è disponibile sul loro sito), Windows Hello non è sicuro come Microsoft desiderava a causa di problemi in come i produttori di laptop e i produttori dei sensori di impronte digitali hanno realizzato e integrato l’hardware nei sistemi. La società infatti ha analizzato laptop di Dell, Lenovo e Microsoft scoprendo in tutti l’esistenza di debolezze informatiche tali da permettere il bypass dell’accesso biometrico.
Facciamo un passo indietro: aziende come Microsoft o Apple hanno notato la popolarità dei sistemi di accesso biometrico ai PC da già diverso tempo; già tre anni fa un sondaggio interno compiuto da Microsoft aveva sottolineato l’assoluta popolarità di Windows Hello tra i sistemi di accesso al sistema operativo, con oltre l’85% degli utenti registrati come utilizzatori. Questi laptop per poter offrire l’accesso attraverso i dati biometrici integrano all’interno della loro scocca sensori sensibili alle impronti digitali realizzati da aziende come Goodix, Synaptic o ELAN; a essere risultati deboli agli attacchi sono proprio questi componenti.
Tutto è partito dal MORSE, o Microsoft’s Offensive Research and Security Engineering, che ha chiesto a Blackwing di indagare sugli attacchi possibili nei confronti del loro metodo di accesso; i primi risultati della ricerca sono trapelati fuori durante il mese di ottobre e già allora si parlava della possibilità di eseguire attacchi man in the middle (in questo caso l’agente che si intromette tra l’input biometrico dell’utente e il sistema operativo è una pennetta USB).
Non la prima volta per Microsoft
Le analisi compiute da Blackwing su laptop come il Dell Inspiron 15, il Lenovo ThinkPad T14 o il Microsoft Surface Pro X hanno mostrato come tutti i sistemi possano cadere vittima di semplici attacchi MITM finché qualcuno ha sbloccato precedentemente, almeno una volta, il laptop attraverso la propria impronta digitale.
In particolare i ricercatori di Blackwing, eseguendo reverse engineering su Windows Hello e su come questo interagisce con i sensori dei marchi precedentemente citati. Su un sensore di Synapct, ad esempio, i ricercatori hanno scoperto falle nel come viene implementata la crittografia all’interno di un TLS Custom. Anche l’abilitazione della protezione SDCP da parte dei produttori di laptop si è dimostrata carente, con 2 dispositivi su 3 sprovvisti di tale protezione; Blackwing ha diramato un comunicato in cui raccomanda agli OEM (di assicurarsi tale abilitazione e di far controllare a esperti qualificati la corretta implementazione del sensore di impronte digitali).
Al momento, purtroppo, non si hanno certezze sulla capacità di Microsoft di risolvere tutti quanti i difetti riscontrati da Blackwing.
Secondo quanto dichiarato dai consulenti, infatti, il colosso di Redmond ha di certo fatto un ottimo lavoro attraverso la progettazione dell’SDCP (secure device connection protocol), al fine di fornire un canale di comunicazione sicuro tra i dispositivi biometrici e il resto del laptop ma il problema è da riscontrarsi nel come i produttori di dispositivi montano e realizzano i propri prodotti, con delle chiare sviste dal punto di vista degli obbiettivi di sicurezza da perseguire.
Per quanto poi sia ben realizzato, l’SDCP è comunque uno strumento informatico che riesce a interagire soltanto in maniera limitata col funzionamento tipico di un dispositivo; i laptop sono oggetti fisici che possono essere attaccati con una grande varietà di metodi e di questi solo una minima parte è coperta dalle caratteristiche del canale di comunicazione protetto realizzato da Microsoft.
Non una bella settimana per Microsoft ma, d’altronde, non è la prima volta che accade una cosa del genere; giusto un paio di anni fa Microsoft ha dovuto realizzare una patch di aggiornamento per risolvere delle vulnerabilità riscontrate nel riconoscimento facciale di Windows Hello. Nel giro di qualche tempo gli ingegneri della compagnia riusciranno a risolvere o compartimentale ulteriormente il problema, poco ma sicuro.