Windows 10面部识别系统曝严重安全漏洞,用一张照片就可解锁电脑

作者:hack-cn 2018-01-02

微软在本月早些时候发布了更新,以修复Windows 10面部识别系统Windows Hello中的一个漏洞,该漏洞允许攻击者使用打印的照片来绕过面部扫描。


Windows Hello是一种生物特征授权方式,允许用户可以通过面部扫描解锁Windows 10设备(配备近红外传感器的台式机、笔记本电脑或者平板电脑)。微软表示,Windows Hello主要利用了使用近红外(IR)成像技术,它与传统的通过输入密码来解锁设备相比更加方便,也更加安全。

QQ截图20180102165628.png

发起攻击只需要四个关键要素


漏洞由来自德国SYSS公司的两位网络安全专家Matthias Deeg和Philipp Buchegger发现,并且适用于多个Windows 10版本。


安全专家表示,成功利用漏洞发起攻击只需要具备几个关键要素:


照片必须是正面照;


照片必须是通过近红外相机拍摄的;


照片的亮度和对比度需要进行简单的修改;


照片必须通过激光打印机打印。


一般来说,Windows Hello会在两种不同的配置下运行:一种是默认配置,未启用“增强防欺骗(enhanced anti-spoofing)” 功能;另一种配置更加安全,即启用了这个功能。


照片分辨率要求极低


漏洞主要影响了较旧版本的Windows 10,比如1511和1607。测试证实,通过使用设备所有者面部的低分辨率(340x340像素)照片就足以解锁已激活了Windows Hello功能的多种Windows 10设备。


即使这些设备启用了“增强防欺骗”功能,攻击依然有效。唯一增加的条件,仅是需要提供一张更高分辨率(480x480像素)的照片。实际上,这仍然是非常低分辨率的照片,要获取到这种照片非常容易。


此外,这并不意味着较新版本的Windows 10就完全幸免。安全专家表示,即使是1703,甚至是最新的1709在未启用“增强防欺骗”功能的情况下,依旧受此漏洞的影响。


更新版本、重配Windows Hello是关键


根据安全专家的测试结果,较新的Windows 10版本1703和1709在启用“增强防欺骗”功能的条件下,不容易受到上述攻击的影响。


因此,SySS建议已激活Windows Hello功能的Windows 10用户需要将自己的系统版本更新至1709或者未来发布的最新版本,并启用“增强的防欺骗”功能,然后对Windows Hello进行重新配置。


SySS强调,对Windows Hello进行重新配置是最终要的一步。经测试证实,如果只是将操作系统从易受攻击的版本(如1511或1607)更新到最新的1709,而不重新配置Windows Hello,则上述的攻击方法依然有效。


作者:hack-cn
上一篇         下一篇
文章分类
分享
本站推荐