天创培训:您身边的信息安全培训专家!
行业动态
Windows 10面部识别系统爆安全漏洞,一张照片就可解锁电脑

Windows 10面部识别系统爆安全漏洞,一张照片就可解锁电脑

微软在本月早些时候发布了更新,以修复Windows 10面部识别系统Windows Hello中的一个漏洞,该漏洞允许攻击者使用打印的照片来绕过面部扫描。

Windows Hello是一种生物特征授权方式,CISSP培训认证允许用户可以通过面部扫描解锁Windows 10设备(配备近红外传感器的台式机、笔记本电脑或者平板电脑)。微软表示,Windows Hello主要利用了使用近红外(IR)成像技术,它与传统的通过输入密码来解锁设备相比更加方便,也更加安全。

发起攻击只需要四个关键要素

漏洞由来自德国SYSS公司的两位网络安全专家Matthias Deeg和Philipp Buchegger发现,CISSP培训认证并且适用于多个Windows 10版本。

Windows 10面部识别系统爆安全漏洞,一张照片就可解锁电脑

安全专家表示,成功利用漏洞发起攻击只需要具备几个关键要素:

  • 照片必须是正面照;

  • 照片必须是通过近红外相机拍摄的;

  • 照片的亮度和对比度需要进行简单的修改;

  • 照片必须通过激光打印机打印。

一般来说,Windows Hello会在两种不同的配置下运行:一种是默认配置,CISSP培训认证未启用“增强防欺骗(enhanced anti-spoofing)” 功能;另一种配置更加安全,即启用了这个功能。

照片分辨率要求极低

漏洞主要影响了较旧版本的Windows 10,比如1511和1607。测试证实,通过使用设备所有者面部的低分辨率(340x340像素)照片就足以解锁已激活了Windows Hello功能的多种Windows 10设备。

即使这些设备启用了“增强防欺骗”功能,攻击依然有效。唯一增加的条件,CISSP培训认证仅是需要提供一张更高分辨率(480x480像素)的照片。实际上,这仍然是非常低分辨率的照片,要获取到这种照片非常容易。

此外,这并不意味着较新版本的Windows 10就完全幸免。安全专家表示,即使是1703,甚至是最新的1709在未启用“增强防欺骗”功能的情况下,依旧受此漏洞的影响。

更新版本、重配Windows Hello是关键

根据安全专家的测试结果,较新的Windows 10版本1703和1709在启用“增强防欺骗”功能的条件下,不容易受到上述攻击的影响。

因此,SySS建议已激活Windows Hello功能的Windows 10用户需要将自己的系统版本更新至1709或者未来发布的最新版本,并启用“增强的防欺骗”功能,然后对Windows Hello进行重新配置。

SySS强调,对Windows Hello进行重新配置是最终要的一步。经测试证实,如果只是将操作系统从易受攻击的版本(如1511或1607)更新到最新的1709,而不重新配置Windows Hello,则上述的攻击方法依然有效。