Sårbarhed i Windows Hello lader hackere bytte ansigter og få adgang til admin-konti

En nyligt afsløret sårbarhed i Windows Hello gør det muligt for hackere at manipulere ansigtsgenkendelsesdata og låse følsomme systemer op med deres egne ansigter. Sikkerhedsforskere advarer om, at Windows Hello for Business lider af en grundlæggende designfejl, der gør det muligt at “bytte ansigter” og få adgang til brugerkonti med højere rettigheder.

Forskere afslører alvorlig biometrisk svaghed

Forskere fra cybersikkerhedsfirmaet ERNW har opdaget, at de biometriske skabeloner i Windows Hello kan ændres, hvis en angriber får adgang til en kompromitteret enhed i et virksomhedsnetværk.

Windows Hello for Business er designet til at verificere brugeridentitet via biometriske data som ansigtsscanning. Men forskerne fandt ud af, at hackere med administratorrettigheder kan manipulere de lagrede ansigtsskabeloner – og i praksis bytte ét ansigt ud med et andet.

Når det er gjort, kan angriberen logge ind som en anden bruger – inklusive domæneadministratorer – med sit eget ansigt.

“Der er kun en løs kobling mellem biometrisk identifikation og autentificering,” skrev forskerne i et detaljeret blogindlæg på insinuator.net. “Al den nødvendige information for at låse skabelonerne op er gemt lokalt.”

Sådan virker face swap-angrebet

For at gennemføre angrebet skal en hacker først kompromittere en enhed i virksomhedens netværk. Derefter skal de eskalere deres rettigheder til lokal administrator.

Når disse betingelser er opfyldt, kan de dekryptere og ændre den biometriske database, som indeholder:

• En krypteret header med nøgler til de biometriske skabeloner
• Versionsmetadata
• De krypterede ansigtsskabeloner

Den biometriske tjeneste, der lagrer disse data, kører under kontoen NT AUTHORITY\SYSTEM. Dette setup gør det muligt for en angriber at udlede dekrypteringsnøglen fra det samme system – uden behov for eksterne hemmeligheder.

ERNW’s proof-of-concept viser to brugere, der er registreret i Windows Hello – én som domænebruger og én som lokal administrator. Ved at bytte sikkerhedsidentifikatorer (SID) kunne den lokale administrators ansigt bruges til at låse domænebrugerens konto op.

Microsoft informeret – men løsning er usandsynlig

Forskerne har informeret Microsoft, men forventer ikke, at problemet bliver løst. De forklarer, at en løsning vil kræve en gennemgribende arkitektonisk omlægning af Windows Hellos biometriske system. Lignende sårbarheder er tidligere blevet ignoreret.

Dette er ikke bare en teoretisk risiko. ERNW brugte standardværktøjer i Windows til at demonstrere angrebet i praksis. Med adgang til blot én kompromitteret enhed kan angribere bevæge sig sidelæns gennem netværket, stjæle følsomme data og overtage aktive brugersessioner.

Konklusion

Sårbarheden i Windows Hello viser, at selv avancerede biometriske systemer kan udnyttes, hvis angriberen har tilstrækkelig adgang. Ved at gemme kritiske dekrypteringsdata lokalt og have en svag kobling mellem identitet og autentificering, åbner Windows Hello døren for ansigtsbytte-angreb, som kan bringe hele netværk i fare. Uden en strukturel ombygning bør virksomheder genoverveje, hvor meget de stoler på ansigtsgenkendelse til at sikre systemer med høje privilegier.