Windows Hello Yüz Tanıma Sisteminde Ciddi Güvenlik Açığı Ortaya Çıktı
Las Vegas’taki Black Hat konferansında duyurulan yeni “Faceplant” saldırısı, Windows Hello sisteminin önemli bir güvenlik zafiyetini gözler önüne serdi. Microsoft’un parola kullanımını azaltmak için öne çıkardığı biyometrik kimlik doğrulama, depolanan verilerin korunması noktasında yetersiz kaldı. Bu durum, biyometrik sistemlerin zayıf yönlerini bir kez daha gösterdi.
Biyometrik Şablonlar Saldırganların Elinde Değiştirildi
Almanya merkezli iki güvenlik araştırmacısı, Windows Hello for Business üzerinde çalışan yeni bir saldırı yöntemini tanıttı. Faceplant adı verilen yöntem, sahte fotoğraf ya da kamera hilesi kullanmak yerine biyometrik verilerin nasıl saklandığını hedef alıyor. Araştırmacılar, yöneticilik yetkisine sahip saldırganların veritabanındaki biyometrik şablonları değiştirerek sisteme sızabildiğini ortaya çıkardı.
Saldırı sürecinde önce saldırgan kendi yüz verisini bir cihazda kayıt altına alıyor. Bu işlemle birlikte yerel sistemde biyometrik şablon dosyası oluşuyor. Dosya şifrelenmiş hâlde saklansa da çözüldükten sonra farklı bir bilgisayara aktarılabiliyor. Araştırmacılar bu yöntemi kullanarak kurbanın şablonunu kendi verileriyle değiştirdi. Böylece saldırgan yalnızca kendi yüzünü kullanarak hedef hesaba erişim sağladı.
Microsoft, araştırmacıların ortaya koyduğu açığı doğruladı. Şirket, saldırının gerçekleşmesi için sistemde önceden yönetici yetkilerinin alınması gerektiğini vurguladı. Microsoft ayrıca Windows Hello için geliştirdiği Enhanced Sign-In Security özelliğinin saldırıya karşı koruma sunduğunu belirtti. ESS, biyometrik verileri donanım destekli güvenlik alanında işleyerek veritabanı düzeyinde yapılan müdahaleleri engelliyor.
ESS güvenliği her bilgisayarda aktif çalışmıyor. Özellikle bazı AMD işlemcili cihazlar, sistemin gereksinimlerini karşılamıyor. Bu durum, pek çok kurumsal bilgisayarda ek güvenlik katmanının devreye alınamaması anlamına geliyor. Araştırmacılar, tam bir çözüm için ya Windows Hello’nun köklü şekilde yenilenmesi ya da biyometrik işlemlerin daha geniş ölçekte güvenli donanımlara taşınması gerektiğini belirtti.
Güvenlik uzmanları, ESS desteği olmayan sistemlerde biyometrik oturum açmanın riskli olduğunu dile getirdi. Kurumların geçici çözüm olarak PIN tabanlı girişe yönelmesi önerildi. Bu yöntem kullanıcı açısından daha az pratik olsa da güvenlik seviyesini artırıyor.
