|
ChMkLWh3i36IVeYaAABlv4ZAqVEAABHjwGh5zQAAGXX574.jpg
德国安全研究公司ERNW近日披露了一个存在于Windows Hello for Business中的安全漏洞，该漏洞可能使攻击者通过面部识别技术非法访问他人账户。
根据ERNW发布的研究报告，该漏洞被命名为“面部交换攻击”。攻击原理在于利用了Windows Hello在处理生物识别信息时的机制。系统并非直接使用用户的面部数据进行身份验证，而是通过这些数据解密存储在系统中的密钥。
研究显示，具备管理员权限的攻击者可以访问并篡改系统中用于关联用户身份与生物识别模板的数据库。在测试环境中，研究人员成功交换了两个已注册用户的身份标识，从而实现了身份冒充。
一旦攻击得逞，系统将完全被误导。攻击者只需面对摄像头，即可用自己的面部信息获得对他人账户的访问权限，进而获取该账户所能触及的所有企业网络资源、文件和数据。
换句话说，在任何支持Windows Hello功能的设备上，只要配置了多个用户账户，拥有管理员权限的人就有可能冒充其他用户，获取其账户权限。
ERNW指出，他们已将该漏洞的相关情况通报微软方面，但认为微软难以通过简单的补丁方式进行修复，因为从根本上解决这一问题需要对系统架构进行大规模调整。 | 
