Windows 10 : des chercheurs parviennent à tromper Windows Hello !
Des chercheurs en sécurité sont parvenus à tromper Windows Hello, le système d'authentification biométrique de Microsoft, avec une simple photo infrarouge. Que s'est-il passé ?
Si vous avez une machine Windows 10 et une Webcam compatible Windows Hello, vous pouvez vous authentifier grâce à la reconnaissance faciale, ce qui est super pratique ! Cela évite d'avoir à saisir son mot de passe pour ouvrir ou déverrouiller sa session. Néanmoins, comme tout système, celui-ci à ses limites en termes de sécurité. D'autant plus que Microsoft doit assurer la compatibilité entre Windows Hello et de nombreux modèles de Webcam.
Pour que la Webcam soit compatible avec Windows Hello, elle doit être équipée d'un capteur infrarouge. C'est notamment le cas sur les Surface Pro, les ordinateurs hybrides de chez Microsoft.
Des chercheurs en sécurité de chez CyberArk sont à l'origine de cette trouvaille, et Omer Tsarfati, explique qu'ils sont parvenus à tromper le système d'authentification Windows Hello avec une simple photo infrarouge de la personne. Ensuite, l'attaquant peut accéder à la session et à toutes les données de l'utilisateur. Clairement, il y a un souci dans le processus de vérification des données au niveau de Windows Hello.
Pour l'anecdote, on retiendra que Omer Tsarfati a pris une photo de Bob l'Éponge pour ses tests. Du coup, on peut se demander si Bob l'Éponge était présent physiquement pour enregistrer les informations biométriques la première fois. Ahah.
Plus sérieusement, bien que cette attaque soit simple d'apparence, il faut avoir la machine entre les mains et avoir une photo infrarouge d'une bonne qualité pour que l'attaque réussisse. Microsoft considère cette attaque comme très complexe à mettre en œuvre, probablement car elle nécessite un accès physique sur le PC.
La bonne nouvelle, c'est que le Patch Tuesday de Juillet 2021 publié par Microsoft contient un correctif pour cette faille de sécurité au sein de Windows Hello. Cette vulnérabilité est associée à la référence CVE-2021-34466. Ce correctif s'applique à toutes les versions de Windows 10 encore sous support.
