Microsoft, geçtiğimiz mayıs ayında yeni hesaplarda parola kullanımını varsayılan olarak kaldırıp Windows Hello gibi biyometrik yöntemleri öne çıkarmıştı. Ancak Almanya’dan iki güvenlik araştırmacısı, iş sürümünde kullanılan Windows Hello’nun ciddi bir güvenlik açığını ortaya koydu. Las Vegas’ta düzenlenen Black Hat konferansında sahne alan Tillmann Osswald ve Dr. Baptiste David, saldırganların yüz tanıma sistemini nasıl atlatabileceğini canlı olarak gösterdi.
Windows Hello’nun Güvenlik Açığı Nasıl Ortaya Çıkıyor
Demoda, David kendi yüzüyle oturum açtıktan sonra Osswald yönetici yetkilerini kullanarak birkaç satır kod çalıştırdı. Ardından farklı bir bilgisayarda elde ettiği yüz taramasını hedef cihazın biyometrik veritabanına ekledi. Sisteme yaklaştığında cihaz, onun yüzünü David’in yüzüyle eşleştirdi ve anında giriş izni verdi.
Windows Hello iş ortamında kurulduğunda cihaz bir açık anahtar/özel anahtar çifti oluşturuyor. Açık anahtar, kurumsal kimlik sağlayıcıya kaydediliyor. Yüz verisi ise Windows Biyometrik Hizmeti tarafından yönetilen şifreli bir veritabanında saklanıyor. Oturum açma sırasında canlı görüntü bu verilerle karşılaştırılıyor.
Sorun, saldırganın yönetici yetkilerine sahip olduğu durumlarda ortaya çıkıyor. Bazı uygulamalarda bu şifreleme, biyometrik veritabanının çözülmesini engelleyemiyor. Böylece saldırgan, kayıtlı yüz verilerini değiştirebiliyor.
ESS Desteği Olmayan Cihazlar Risk Altında
Microsoft, Enhanced Sign-in Security (ESS) adını verdiği çözümle bu zafiyeti gidermeye çalışıyor. ESS, biyometrik kimlik doğrulama sürecini sistemin hipervizörü tarafından yönetilen güvenli bir alanda izole ediyor. Ancak bu koruma yalnızca belirli donanım özelliklerine sahip cihazlarda çalışıyor.
ESS için 64 bit donanım sanallaştırma desteğine sahip modern bir işlemci, TPM 2.0 yongası, Secure Boot özelliği ve Microsoft tarafından onaylı biyometrik sensör gerekiyor. Copilot+ PC’lerde bu standart zorunlu olsa da birçok mevcut cihaz bu gereksinimleri karşılamıyor.
Araştırmacılar, ESS desteği olmayan iş bilgisayarlarında biyometrik girişin devre dışı bırakılmasını ve PIN gibi alternatif yöntemlerin kullanılmasını öneriyor. Cihazın ESS desteğine sahip olup olmadığını anlamak için Windows oturum açma ayarlarında ilgili seçenekler kontrol edilebiliyor. Microsoft, bazı Windows Hello uyumlu çevre birimlerinin ESS desteğini etkinleştirebileceğini ancak tam uyumun 2025’in sonlarına kadar beklenmediğini açıkladı.
