Riepilogo dirigenti
Questo aggiornamento della sicurezza risolve una Windows Hello di bypass del riconoscimento facciale in Windows 10 che consente a un utente malintenzionato di riprodurre un'immagine per ottenere l'accesso a un sistema. Questo bypass richiede l'accesso fisico con il possesso completo del dispositivo fisico di un utente, dell'hardware personalizzato e di un'immagine a infrarossi (IR) specializzata.
Informazioni sulla vulnerabilità
L'aggiornamento cumulativo della sicurezza 2021-07 si rivolge a CVE-2021-34466 ed è stato rilasciato il 13 luglio 2021.
Un exploit riuscito richiede i prerequisiti seguenti:
-
L'utente deve essere già registrato nell'Windows Hello autenticazione faccia a faccia.
-
L'utente malintenzionato ha accesso fisico al dispositivo della vittima.
-
L'utente malintenzionato ha delle softcopies delle immagini a infrarossi della vittima.
-
L'utente malintenzionato crea un dispositivo fotocamera USB personalizzato che simula una fotocamera Windows Hello face. L'utente malintenzionato collega la fotocamera dannosa al dispositivo della vittima e in streaming le cornici di immagine menzionate nell'articolo 3.
Correzioni & attenuazioni
Il 13 luglio 2021 Microsoft ha rilasciato le correzioni seguenti per la correzione di questa vulnerabilità:
-
KB5004237 per Windows 10, versione 2004, tutte le edizioni, Windows 10, versione 20H2, tutte le edizioni e Windows 10, versione 21H1, tutte le edizioni
-
KB5004245 per Windows 10 Enterprise, versione 1909, Windows 10 Enterprise e Education, versione 1909 e Windows 10 IoT Enterprise, versione 1909
-
KB5004244 per Windows 10 Enterprise 2019 LTSC e Windows 10 IoT Enterprise 2019 LTSC
-
KB5004281 per Windows 10 versione 1803 (disponibile su richiesta)
Dettagli sulla risoluzione
Questi aggiornamenti della sicurezza implementano restrizioni in modo che solo le fotocamere attendibili siano consentite per l'Windows Hello autenticazione faccia.
-
Utenti Windows Hello di autenticazione faccia a faccia: si tratta di utenti che hanno Windows Hello autenticazione faccia a faccia prima di applicare questo aggiornamento. Windows chiederà di eseguire di nuovo l'autenticazione con il PIN una sola volta dopo l'installazione dell'aggiornamento.
-
Nuovi Windows Hello utenti di autenticazione faccia a faccia: si tratta di utenti che applicano questo aggiornamento prima di eseguire la registrazione Windows Hello autenticazione faccia. Windows automaticamente attendibile la fotocamera usata per la registrazione Windows Hello di autenticazione faccia.
Configurazione facoltativa
Gli utenti altamente consapevoli della sicurezza possono anche configurare il valore del Registro di sistema seguente per disabilitare tutte le fotocamere esterne da usare con Windows Hello Faccia.
Percorso reg: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Nome chiave: "ShouldForbidExternalCameras"
Valore = 1
Tipo: DWORD
Gli utenti esperti o i professionisti IT possono anche aggiungere il valore del Registro di sistema precedente eseguendo il comando seguente dal prompt dei comandi dell'amministratore.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
La configurazione di questo valore del Registro di sistema impedirà l'uso di tutte le fotocamere USB esterne con Windows Hello Face. Tuttavia, gli utenti possono continuare a usare la fotocamera esterna con altre applicazioni, ad esempio Microsoft Teams.
Sicurezza di accesso avanzata
I clienti Windows Hello sicurezza avanzata dell'accesso sono protetti da questa vulnerabilità. La sicurezza avanzata per l'accesso è una nuova funzionalità di sicurezza di Windows che richiede hardware, driver e firmware specializzati preinstallati nel sistema dai produttori di dispositivi. Contattare il produttore del dispositivo per informazioni sul supporto per la sicurezza di accesso avanzata nel dispositivo.
Software interessato
Questa vulnerabilità Windows 10 i sistemi basati su Windows 10 seguenti:
-
Windows 10 Versione 21H1 per sistemi x64
-
Windows 10 Versione 21H1 per sistemi a 32 bit
-
Windows 10 Versione 21H1 per sistemi basati su ARM64
-
Windows 10 Versione 21H1 per ARM sistemi basati su ARM
-
Windows 10 Versione 20H2 per sistemi x64
-
Windows 10 Versione 20H2 per sistemi a 32 bit
-
Windows 10 Versione 20H2 per sistemi basati su ARM64
-
Windows 10 Versione 20H2 per ARM sistemi basati su ARM
-
Windows 10 Versione 2004 per sistemi x64
-
Windows 10 Versione 2004 per sistemi a 32 bit
-
Windows 10 Versione 2004 per sistemi basati su ARM64
-
Windows 10 Versione 2004 per ARM sistemi basati su ARM
-
Windows 10 Versione 1909 per sistemi x64
-
Windows 10 Versione 1909 per sistemi a 32 bit
-
Windows 10 Versione 1909 per sistemi basati su ARM64
-
Windows 10 Versione 1909 per ARM sistemi basati su ARM
-
Windows 10 Versione 1809 per sistemi x64
-
Windows 10 Versione 1809 per sistemi a 32 bit
-
Windows 10 Versione 1809 per sistemi basati su ARM64
-
Windows 10 Versione 1809 per ARM sistemi basati su ARM
-
Windows 10 Versione 1803 per sistemi x64
-
Windows 10 Versione 1803 per sistemi a 32 bit
-
Windows 10 Versione 1803 per sistemi basati su ARM64
-
Windows 10 Versione 1803 per ARM sistemi basati su ARM
Domande frequenti
Q. Non ho un dispositivo compatibile con l'autenticazione Windows Hello facciale o non ho abilitato il riconoscimento facciale con Windows Hello. È necessario preoccuparsi di questa vulnerabilità?
A. No. Questa vulnerabilità è applicabile solo agli utenti che hanno un dispositivo compatibile con Windows Hello Face e che hanno registrato l'autenticazione di riconoscimento facciale.
Q. Cosa si deve fare per proteggere gli utenti da questa vulnerabilità?
A. Scaricare e installare gli aggiornamenti precedenti.
Q. È necessario configurare l'impostazione facoltativa del Registro di sistema per proteggere i dispositivi da questa vulnerabilità?
A. Se si usa solo una fotocamera interna o predefinita Windows Hello Face, non è necessario aggiungere il valore facoltativo del Registro di sistema. Tuttavia, se si è un utente mobile, il dispositivo potrebbe essere a rischio di sperpero o furto. Di conseguenza, è possibile aggiungere il valore facoltativo del Registro di sistema per impedire l'uso di fotocamere Windows Hello faccia esterne se si usa una fotocamera esterna. Tieni presente che tutte le fotocamere USB esterne verranno bloccate dall'uso con Windows Hello Face dopo l'aggiunta del valore del Registro di sistema. Gli utenti possono continuare a usare una fotocamera esterna con altre applicazioni, ad esempio Microsoft Teams.
Q. Questa vulnerabilità può essere sfruttata in remoto?
A. No. Per sfruttare questa vulnerabilità, l'utente malintenzionato deve avere accesso fisico completo al dispositivo della vittima.
Domande e risposte È ancora necessario installare questo aggiornamento se il dispositivo supporta la sicurezza avanzata per l'accesso?
A. La sicurezza avanzata per l'accesso attenua questa vulnerabilità, ma solo se la funzionalità è abilitata. Anche se un dispositivo ha i componenti hardware e software necessari, è comunque necessario l'aggiornamento menzionato in precedenza se la funzionalità non è attivata. Indipendentemente da ciò, è comunque consigliabile installare questo aggiornamento per ottenere altre correzioni per la sicurezza.
Q. È possibile continuare a usare il riconoscimento Windows Hello facciale senza aggiornare il sistema?
A. Windows Hello il riconoscimento facciale continuerà a funzionare anche se non si aggiorna il sistema. Ti consigliamo vivamente di aggiornare il sistema, in particolare se sei un utente mobile.
Domande e risposte È possibile disabilitare Windows Hello riconoscimento facciale e continuare a usare Windows Hello impronte digitali?
A. Sì. È possibile rimuovere l'autenticazione del volto di Window Hello nelle opzioni di accesso>Windows Hello Face per disattivare Windows Hello Face e continuare a usare l'impronta digitale di Window Hello.
