Uzmanlar Windows Hello’nun Kurumsal Kullanım İçin Güvenli Olmadığını Belirtiyor
Microsoft, Windows 10 ve Windows 11 işletim sistemlerinde parola yerine biyometrik doğrulama sunan Windows Hello özelliğini öne çıkarıyor. Ancak güvenlik araştırmacıları, bu teknolojinin kurumsal ortamlar için ciddi güvenlik riskleri barındırdığını ortaya koydu.
Windows Hello Nasıl Çalışıyor?
Windows Hello, kullanıcılara cihazlarına yüz tanıma, parmak izi ya da iris taraması ile giriş yapma imkânı veriyor. Ayrıca PIN tabanlı doğrulama da destekleniyor. Microsoft, bu yöntemin daha güvenli olduğunu ve işletmelerin Entra ID veya Active Directory gibi platformlara erişim sağlayabileceğini belirtiyor. Doğrulama sürecinde kriptografik anahtarlar, Windows Biyometrik Servisi ile ilişkili bir veritabanında tutuluyor.
Las Vegas’ta düzenlenen Black Hat 2025 etkinliğinde güvenlik uzmanları Dr. Baptiste David ve Tillmann Osswald, Windows Hello’nun kurumsal kullanımdaki risklerini canlı olarak gösterdi. Sahnedeki demonstrasyonda, başka bir bilgisayarda oluşturulan yüz taraması verisi hedef bilgisayarın biyometrik veritabanına eklendi. Bu işlem sonrasında hedef cihaz, eklenen sahte yüz taramasını gerçek kullanıcı gibi tanıyarak oturum açtı.
Windows Hello verilerini koruyan CryptProtectData işlevi, yerel yönetici yetkisine sahip kişiler tarafından aşılabiliyor. Microsoft’un Enhanced Sign-in Security (ESS) özelliği, bu saldırıyı engelleyebilecek güvenlik katmanlarından biri olarak tanımlanıyor. Ancak araştırmacılar, ESS’in her cihazda çalışmadığını ve donanım sınırlamaları nedeniyle özellikle bazı AMD tabanlı sistemlerde desteklenmediğini vurguluyor.
Araştırmacılar, Microsoft’a konuyla ilgili bildirimde bulundu. Ancak şirket, açığın teknik gereklilikler nedeniyle düzeltilmesinin zor olduğunu belirtiyor. Sorunun giderilebilmesi için kapsamlı kod değişiklikleri yapılması veya biyometrik verilerin TPM modülünde saklanması gerektiği ifade ediliyor. Güvenlik uzmanları, ESS desteklenmeyen cihazlarda biyometrik doğrulamanın devre dışı bırakılmasını ve PIN ile giriş yapılmasını öneriyor.
