伪造红外相机成功绕过Windows Hello生物识别验证

微软推出的Windows Hello生物识别验证被认为具有较高的安全性 , 诸如红外摄像头和指纹识别通常不容易伪造。

而通过红外摄像头认证通常还需要经过活体检测 , 但实际测试发现Windows Hello并没有像微软宣传的那样安全。

问题在于Windows Hello似乎很愿意接受任何具有红外功能的相机作为验证相机 , 这让黑客可以篡改实际数据流。

远程拍摄照片绕过验证：

研究人员使用特制设备向 Windows Hello 发送两帧数据，第1帧是目标用户的真实红外捕获、第2帧是空白黑帧。

其中真实红外捕获用来获得初步的认证 ,  而空白的黑帧则用来欺骗 Windows Hello 活体检测机制达到验证目的。

事实证明这种方法确实是可行的，研究人员利用这种方式可以轻松绕过微软的生物识别验证从而登录各种账号等。

但是要在现实世界里利用此漏洞也不算轻松，其危害主要是黑客可以架设摄像头在目标用户的周围从而获取照片。

只有通过具备红外功能的摄像头拍摄到目标用户时才能再使用伪造的数据绕过活体检测从而攻破微软的生物认证。

微软已经确认漏洞的存在：

研究人员向微软通报漏洞后已经获得微软公司的确认，微软表示此漏洞CVE-2021-34466将在后续更新进行修复。

另外微软还提供用于增强生物识别安全性的临时性方案，该方案可以限制只使用来自 OEM 制造商信任的摄像头。

这些摄像头通常也有加密信任链的保护因此确实可以提高安全性，制造商黑客不能使用其他摄像头进行替代认证。

然而研究人员指出并非所有设备都支持仅信任制造商摄像头，因此还是等待微软及时修复此安全漏洞更加靠谱些。