Así de fácil es engañar a Windows Hello para iniciar sesión en tu PC

Siempre insistimos en la importancia de proteger correctamente la sesión de nuestro PC para evitar que usuarios no autorizados puedan tener acceso a nuestros datos. Usar una contraseña larga y compleja es, al final, la mejor opción, pero también es la menos práctica. Por ello, con la llegada de Windows 10, Microsoft implementó una serie de sistemas biométricos de inicio de sesión que nos permitirían hacer login en el PC de forma rápida y sencilla, y de la forma más segura posible. Así es Windows Hello.

 

Windows Hello nos permite iniciar sesión en el PC de varias formas diferentes. La técnica más utilizada para este proceso es el PIN, un código de 4 dígitos que podemos introducir en el PC para desbloquear la sesión, parecido a si fuera el código de una tarjeta de crédito. También podemos iniciar sesión usando la huella dactilar (si nuestro PC tiene un lector), usar una llave de seguridad para desbloquear el PC al instante, e incluso una webcam, con infrarrojos, para reconocer nuestro rostro y permitirnos entrar al PC.

En un principio, estos sistemas avanzados de inicio de sesión son seguros y, se supone, no deben poner en peligro nuestro PC de ninguna forma. Sin embargo, han encontrado á forma de engañar al sistema de reconocimiento facial.

Así pueden engañar a Windows Hello con una webcam falsa

Un grupo de hackers ha podido demostrar lo fácil que es crear una webcam falsa USB, con un micro-ordenador similar al Raspberry Pi, que se encargue de enviar imágenes infrarrojas diseñadas para este fin, directamente al controlador de Windows Hello. Y este las acepta sin ningún problema.

El problema se encuentra en que, por defecto, Windows Hello admite que cualquier cámara con soporte para infrarrojos sea una cámara de Windows Hello. No comprueba ninguna otra forma ni tiene ningún otro requisito para considerarse «segura», sino que simplemente por el hecho de tener infrarrojos ya se puede usar para reconocimiento facial.

Lo único que necesitaríamos para poder llevar a cabo este ataque informático es una captura infrarroja de la persona en cuestión y una foto de la misma en blanco y negro. La primera se utiliza como sistema de identificación, mientras que la segunda es una «prueba de vida».

Los piratas pueden conseguir la imagen IR de la persona de muchas formas diferentes. Por ejemplo, pueden hacer capturas infrarrojas a larga distancia, o colocar cámaras disimuladas en el entorno de dicha persona, como en un ascensor.

Microsoft ha admitido el fallo

Microsoft no ha tardado en admitir el problema de seguridad, el cual ya ha sido registrado como CVE-2021-34466. Mientras la compañía encuentra la forma de mitigar este fallo de seguridad (algo que, la verdad, está complicado), Microsoft ha recomendado a los usuarios activar la seguridad de inicio de sesión mejorada. Gracias a ella, tan solo las cámaras de confianza OEM pueden usarse como sistema de autenticación con Windows Hello.

De esta forma, la cámara externa USB no podría inyectar la imagen y engañar al sistema de inicio de sesión. Por desgracia, la lista de cámaras OEM validadas por Microsoft es muy pequeña, y podemos tener problemas.

Recordamos que también podemos usar un PIN, o una huella, para iniciar sesión si no queremos tener activado, por ahora, Windows Hello.

Fuente > cyberark

https://www.softzone.es/noticias/windows/windows-hello-webcam-falsa-engana/