La sécurisation par empreinte digitale de Windows Hello de Microsoft a été contournée.

## SÉCURITÉ BIOMÉTRIQUE: UNE VULNÉRABILITÉ DÉCOUVERTE DANS LES CAPTEURS D’EMPREINTES DIGITALES DES ORDINATEURS PORTABLES

Des chercheurs en sécurité ont découvert des vulnérabilités dans les capteurs d’empreintes digitales des ordinateurs portables de Dell, Lenovo et Microsoft. Ces capteurs étaient utilisés pour sécuriser les ordinateurs avec l’authentification Windows Hello. Ces découvertes ont été présentées lors de la conférence BlueHat de Microsoft en octobre.

## ATTAQUES RÉUSSIES CONTRE LES CAPTEURS D’EMPREINTES DIGITALES

Les chercheurs ont réussi à contourner la protection Windows Hello sur des ordinateurs portables Dell Inspiron 15, Lenovo ThinkPad T14 et Microsoft Surface Pro X. Ils ont découvert des failles d’implémentation cryptographique dans un protocole TLS personnalisé sur le capteur Synaptics.

## UTILISATION GÉNÉRALISÉE DES CAPTEURS D’EMPREINTES DIGITALES

Les capteurs d’empreintes digitales sont largement utilisés par les utilisateurs d’ordinateurs portables Windows, en raison de la poussée de Microsoft vers Windows Hello et un avenir sans mot de passe. Microsoft a révélé il y a trois ans que près de 85 % des consommateurs utilisaient Windows Hello pour se connecter aux appareils Windows 10 au lieu d’utiliser un mot de passe.

## HISTORIQUE DE VULNÉRABILITÉS

Ce n’est pas la première fois que l’authentification basée sur la biométrie de Windows Hello est contournée. En 2021, Microsoft a dû corriger une vulnérabilité de contournement de l’authentification Windows Hello après une démonstration impliquant la capture d’une image infrarouge d’une victime pour tromper la fonction de reconnaissance faciale de Windows Hello.

## PROPOS DES CHERCHEURS

Les chercheurs de Blackwing Intelligence ont constaté que la protection SDCP de Microsoft n’était pas activée sur deux des trois appareils qu’ils ont ciblés. Ils recommandent désormais aux fabricants OEM de s’assurer que le SDCP est activé et de faire auditer l’implémentation du capteur d’empreintes digitales par un expert qualifié.

Pour plus d’informations, consultez les sources suivantes :

– [Blackwing Intelligence – A Touch of Pwn Part I](https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i)
– [Présentation de Blackwing Intelligence à la conférence BlueHat de Microsoft](https://blackwinghq.com/assets/labs/presentations/BlueHat-2023-A-Touch-of-Pwn.pdf)
– [Rapport détaillé des chercheurs de Blackwing Intelligence](https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i)