Es posible omitir la autenticación de huellas dactilares de Windows Hello en algunos equipos, según una investigación de Blackwing Intelligence que descubrió múltiples vulnerabilidades en los tres principales sensores de huellas integrados en laptops.

El estudio fue encargado directamente por el equipo de Microsoft a Blackwing Intelligence, solicitándoles evaluar la seguridad de los sensores de huellas dactilares, específicamente de marcas como Goodix, Synaptics y ELAN en equipos como Dell Inspiron 15, Lenovo ThinkPad T14, y Microsoft Surface Pro X, en los cuales lograron eludir la protección bajo ciertas condiciones.

Los investigadores detallan todo su proceso en una publicación en su blog, donde construyeron un dispositivo USB capaz de eludir la protección de Windows Hello, permitiendo un ataque MitM, es decir, interceptar la comunicación entre dos dispositivos conectados a la red.

Como resultado, lograron acceder al equipo sin necesidad de pasar por Windows Hello, siempre y cuando la víctima hubiera utilizado previamente el lector de huellas dactilares en el equipo.

Según Blackwing Intelligence, esta vulnerabilidad puede proporcionar acceso a un equipo robado o facilitar un ataque "evil maid", donde se tiene contacto físico con el dispositivo de una persona cuando el propietario no está presente, comprometiendo su seguridad.

Un protocolo útil, pero sin usar

El grupo de investigadores reconoce que Microsoft hizo un "buen trabajo" diseñando el Protocolo de conexión segura de dispositivos (SDCP), que proporciona un canal seguro entre el host y el sensor biométrico. Sin embargo, desde su perspectiva, parece que …