Resumo Executivo
Essa atualização de segurança resolve uma Windows Hello de bypass de reconhecimento facial no Windows 10 que permite que um invasor replay uma imagem para obter acesso a um sistema. Esse bypass requer acesso físico com a posse completa do dispositivo físico de um usuário, hardware personalizado e uma imagem de infravermelho especializado (IR).
Informações sobre vulnerabilidade
A atualização cumulativa de segurança 2021-07 aborda o CVE-2021-34466 e foi lançada em 13 de julho de 2021.
Uma exploração bem-sucedida requer os seguintes pré-requisitos:
-
O usuário já deve estar inscrito na autenticação Windows Hello face.
-
O invasor tem acesso físico ao dispositivo da vítima.
-
O invasor tem softcopies das imagens infravermelhas da vítima.
-
O invasor criará um dispositivo de câmera USB personalizado que imita uma câmera Windows Hello Face legítima. O invasor conecta a câmera mal-intencionada ao dispositivo da vítima e transmite os quadros de imagem mencionados no item três.
Corrige & Mitigações
Em 13 de julho de 2021, a Microsoft lançou as seguintes correções para corrigir essa vulnerabilidade:
-
KB5004237 para Windows 10, versão 2004, todas as edições, Windows 10, versão 20H2, todas as edições e Windows 10, versão 21H1, todas as edições
-
KB5004245 para Windows 10 Enterprise, versão 1909, Windows 10 Enterprise e Education, versão 1909 e Windows 10 IoT Enterprise versão 1909
-
KB5004244 para Windows 10 Enterprise LTSC 2019 e Windows 10 IoT Enterprise LTSC 2019
-
KB5004281 para Windows 10 versão 1803 (Disponível a pedido)
Detalhes da resolução
Essas atualizações de segurança implementam restrições para que apenas câmeras confiáveis sejam permitidas para serem usadas com Windows Hello face autenticação.
-
Usuários de autenticação Windows Hello face existentes – esses são os usuários que se registraram na autenticação Windows Hello face antes de aplicar essa atualização. Windows solicitará que eles se reautentem com o PIN apenas uma vez após a instalação dessa atualização.
-
Novos Windows Hello usuários de autenticação de rosto – esses são os usuários que aplicam essa atualização antes de se inscrever Windows Hello autenticação de face. Windows confiará automaticamente na câmera usada para o registro de autenticação Windows Hello face.
Configuração opcional
Usuários altamente conscientes de segurança também podem configurar o seguinte valor do Registro para desabilitar todas as câmeras externas para uso com Windows Hello Face.
Caminho reg: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon]
Nome da chave: "ShouldForbidExternalCameras"
Valor = 1
Tipo: DWORD
Usuários experientes ou profissionais de TI também podem adicionar o valor do Registro acima executando o seguinte comando no prompt de comando do administrador.
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\FaceLogon" /v ShouldForbidExternalCameras /t REG_DWORD /d 1 /f
Observe que a configuração desse valor do Registro impedirá que todas as câmeras USB externas seja usada com Windows Hello Face. No entanto, os usuários podem continuar usando a câmera externa com outros aplicativos, como Microsoft Teams.
Segurança de login aprimorada
Os clientes com Windows Hello segurança de login aprimorada estão protegidos contra essa vulnerabilidade. Segurança de Entrada Aprimorada é um novo recurso de segurança no Windows que exige hardware, drivers e firmware especializados que são pré-instalados no sistema por fabricantes de dispositivos. Entre em contato com o fabricante do dispositivo para saber mais sobre o suporte para Segurança de Entrada Aprimorada em seu dispositivo.
Software afetado
Os seguintes Windows 10 baseados em sistemas são afetados por essa vulnerabilidade:
-
Windows 10 Versão 21H1 para sistemas baseados em x64
-
Windows 10 Versão 21H1 para sistemas de 32 bits
-
Windows 10 Versão 21H1 para sistemas baseados em ARM64
-
Windows 10 Versão 21H1 para sistemas ARM baseados em ARM
-
Windows 10 Versão 20H2 para sistemas baseados em x64
-
Windows 10 Versão 20H2 para sistemas de 32 bits
-
Windows 10 Versão 20H2 para sistemas baseados em ARM64
-
Windows 10 Versão 20H2 para sistemas ARM baseados em ARM
-
Windows 10 Versão 2004 para sistemas baseados em x64
-
Windows 10 Versão 2004 para sistemas de 32 bits
-
Windows 10 Versão 2004 para sistemas baseados em ARM64
-
Windows 10 Versão 2004 para sistemas ARM baseados em ARM
-
Windows 10 Versão 1909 para sistemas baseados em x64
-
Windows 10 Versão 1909 para sistemas de 32 bits
-
Windows 10 Versão 1909 para sistemas baseados em ARM64
-
Windows 10 Versão 1909 para sistemas ARM baseados em ARM
-
Windows 10 Versão 1809 para sistemas baseados em x64
-
Windows 10 Versão 1809 para sistemas de 32 bits
-
Windows 10 Versão 1809 para sistemas baseados em ARM64
-
Windows 10 Versão 1809 para sistemas ARM baseados em ARM
-
Windows 10 Versão 1803 para sistemas baseados em x64
-
Windows 10 Versão 1803 para sistemas de 32 bits
-
Windows 10 Versão 1803 para sistemas baseados em ARM64
-
Windows 10 Versão 1803 para sistemas ARM baseados em ARM
Perguntas Frequentes
Q. Não tenho um dispositivo compatível com a autenticação Windows Hello face ou não habilitar o reconhecimento facial com Windows Hello. Preciso me preocupar com essa vulnerabilidade?
A. Não. Essa vulnerabilidade só é aplicável aos usuários que têm um dispositivo compatível com o Windows Hello Face e se registraram na autenticação de reconhecimento facial.
Q. O que devo fazer para proteger meus usuários dessa vulnerabilidade?
A. Baixe e instale as atualizações acima.
Q. Preciso configurar a configuração opcional do Registro para proteger meus dispositivos dessa vulnerabilidade?
A. Se você usar apenas uma Windows Hello câmera face interna ou interna, não precisará adicionar o valor opcional do Registro. No entanto, se você for um usuário móvel, seu dispositivo poderá estar em risco de ser perdido ou roubado. Portanto, você pode adicionar o valor opcional do Registro para impedir o uso de câmeras face externas Windows Hello face se você usar uma câmera externa. Observe que todas as câmeras USB externas serão impedida de serem usadas com Windows Hello Face depois de adicionar o valor do Registro. Os usuários podem continuar usando uma câmera externa com outros aplicativos, como Microsoft Teams.
Q. Essa vulnerabilidade pode ser explorada remotamente?
A. Não. Para explorar essa vulnerabilidade, o invasor deve ter acesso físico total ao dispositivo da vítima.
P. Ainda preciso instalar essa atualização se meu dispositivo oferece suporte à Segurança de Entrada Aprimorada?
A. A Segurança de Login Aprimorada reduz essa vulnerabilidade, mas somente se o recurso estiver habilitado. Mesmo que um dispositivo tenha os componentes de hardware e software necessários, você ainda precisará da atualização mencionada acima se o recurso não estiver ligado. Independentemente disso, você ainda deve instalar essa atualização para obter outras correções de segurança.
Q. Posso continuar a usar o Windows Hello facial sem atualizar meu sistema?
A. Windows Hello reconhecimento facial continuará a funcionar mesmo se você não atualizar seu sistema. Recomendamos que você atualize seu sistema, especialmente se você for um usuário móvel.
P. Posso desabilitar Windows Hello reconhecimento facial e continuar a usar Windows Hello Digital?
A. Sim. Você pode remover a autenticação de rosto do Windows Hello nas opções de>Windows Hello Face para desativar Windows Hello Face e continuar a usar a Impressão Digital do Window Hello.
