Les experts en cybersécurité de Blackwing Intelligence ont été missionnés par Microsoft pour tester la vulnérabilité de l'authentification par empreinte digitale de Windows Hello, la fonctionnalité introduite dans Windows 10 qui permet de sécuriser votre compte par authentification biométrique.

Microsoft a demandé à Blackwing Intelligence de tester “la sécurité des trois principaux capteurs d'empreintes digitales intégrés dans les ordinateurs portables” utilisés par Windows Hello pour authentifier les empreintes digitales. Les chercheurs sont parvenus à exploiter diverses vulnérabilités sur trois PC (un ThinkPad T14 de Lenovo, un Dell Inspiron 15 et une Surface Pro X de Microsoft) pour passer outre Windows Hello.

Pour parvenir à leurs fins, les chercheurs ont opté pour une “Attaque de l'homme du milieu” (Man-in-the-middle attack) qui consiste à intercepter les communications entre le lecteur d’empreinte (ou tout autre capteur biométrique) et la puce intégrée dans le PC responsable de vérifier la concordance des données biométriques avec celles qui sont chiffrées “en dur”. Ils ont utilisé la rétro-ingénierie pour analyser le code et le matériel utilisé dans les capteurs de Synaptics et d’autres fabricants.

La reconnaissance digitale de Windows Hello n’est pas infaillible, ces chercheurs le prouvent

Ils ont ensuite exploité un défaut dans le code de la version personnalisée du TLS, un protocole de sécurisation des échanges, pour en implémenter leur propre version, piratée bien évidemment. En d’autres termes, avec beaucoup de savoir-faire, il est possible de créer un dispositif qui intercepte les données entre le lecteur d’empreintes légitime et la puce (ou le serveur) chargée de “matcher” les données. Une technique qui n’est pas à la portée de tout le monde, mais qui permet de voler le contenu d’un PC volé, par exemple.

D’après les scientifiques, ce problème pourrait être partiellement réglé si les fabricants de capteurs implémentaient correctement la technologie Secure Device Connection Protocol créée par Microsoft, ou mieux encore, s’ils la mettaient vraiment en place. En effet, seuls deux ordinateurs de test sur trois profitaient de cette fonctionnalité de sécurité. Certes, le SDCP n’est pas non plus la panacée, mais permet au moins d’assurer que le lecteur d’empreinte est authentifié (on peut lui faire confiance), qu’il n’a pas été trafiqué, et que les communications avec le système hôte sont protégées.