Un fallo oculto en ordenadores portátiles y de sobremesa con Windows permite el inicio de sesión no autorizado (robo de identidad)

Un nuevo informe de ERNW, una empresa alemana de investigación sobre seguridad, ha detallado una vulnerabilidad en Windows Hello for Business, el sistema de autenticación sin contraseña de Microsoft. La investigación, que forma parte de un proyecto financiado por la Oficina Federal de Seguridad de la Información (BSI) de Alemania, demuestra cómo los atacantes con acceso previo a un dispositivo pueden explotar el diseño del sistema para cometer una forma de usurpación de identidad.

Este ataque, bautizado como "El intercambio de caras", aprovecha la forma en que Windows Hello maneja los datos biométricos: en lugar de utilizar la biometría del usuario para la autenticación directa, el sistema la utiliza para desbloquear una clave criptográfica almacenada en el sistema. Los investigadores de ERNW descubrieron que un atacante con privilegios administrativos puede acceder y manipular la base de datos que vincula la identidad de un usuario con su plantilla biométrica almacenada.

En un ataque de prueba de concepto, los investigadores intercambiaron con éxito los identificadores de dos usuarios registrados. El intercambio engañó completamente al sistema; un atacante podía sentarse frente a la cámara del ordenador y Windows Hello utilizaría su rostro para concederle acceso a la cuenta de la víctima, incluidos todos sus recursos de red, archivos y datos corporativos.

En términos sencillos, en cualquier ordenador Windows (con Windows Hello) con múltiples perfiles de usuario, este fallo de seguridad permite a cualquier persona con una cuenta administrativa robar la identidad de otros usuarios del sistema.

ERNW afirma que ha comunicado sus hallazgos a Microsoft, pero sospecha que es improbable una solución de fondo, ya que requeriría una revisión de la arquitectura del sistema. En un incidente separado, ERNW informó de un fallo crítico en sistemas Linux que permitía a los atacantes el acceso completo a esos sistemas hace unas dos semanas.