A autenticação por biometria do Windows Hello foi violada por pesquisadores. Nesta terça-feira (21), o grupo Blackwing Intelligence divulgou que conseguiu ultrapassar o mecanismo de segurança em computadores das marcas Dell, Lenovo e Microsoft.
A pesquisa do grupo foi um pedido do time de Pesquisa Ofensiva e Engenharia de Segurança da Microsoft (MORSE) feito em outubro deste ano. "Nossa pesquisa revelou diversas vulnerabilidades que nossa equipe explorou com sucesso, permitindo-nos ignorar completamente a autenticação do Windows Hello em todos os três laptops", explica o Blackwing Intelligence.
Os sensores testados foram das marcas Goodix, Synaptics e ELAN, que equipam os três computadores mais vendidos para companhias: Dell Inspiron 15, Lenovo ThinkPad T14 e Microsoft Surface Pro Type Cover with Fingerprint ID. Todos eles tiveram o mecanismo de segurança violado pelos pesquisadores.
Segundo a Blackwing Intelligence, a descoberta das brechas aconteceu por meio de engenharia reversa no software e no hardware do dispositivo, em que foram descobertas falhas na implementação criptográfica em um TLS personalizado no componente da Synaptics.
A natureza das brechas está na ausência da implementação do mecanismo Secure Device Connection Protocol (SDCP) da Microsoft. Sendo assim, depende das fabricantes a decisão de implementar o recurso.
Windows Hello é um método popular
A descoberta da falha é uma péssima notícia para usuários de computadores com Windows Hello habilitado com biometria. Há três anos, a Microsoft revelou que cerca de 85% dos usuários adotava o método de autenticação —sendo entrada por PIN também uma das opções da ferramenta.
Essa não é a primeira falha descoberta no Windows Hello, porém. Em 2021, a companhia precisou corrigir uma brecha no sistema (também na autenticação por biometria) para evitar acessos indevidos no Windows 10.
