Biometria w Windowsie złamana, a Microsoft bajdurzy o „śmierci haseł”

Kolejnym epizodem tej nużącej historii jest wykryta jeszcze przed świętami podatność Windows Hello, więc mechanizmu zabezpieczania Windowsa 10 z wykorzystaniem biometrii – najczęściej rozpoznawania twarzy, ale także skanowania linii papilarnych. Pamiętamy przypadek Samsunga Galaxy S8, którego przednią kamerę można było oszukać zdjęciem. W przypadku algorytmów rozpoznawania twarzy w Windows Hello nie było tak łatwo – eksperci z niemieckiego SYSS musieli wydrukować zdjęcie w niskiej rozdzielczości (340×340 pikseli), zmodyfikowane spektroskopowo tak, by odtworzyć promieniowanie od temperatury twarzy. Pozwoliło to ominąć skanowanie podczerwone wykorzystywane np. w urządzeniach z rodziny Surface.

Wbrew temu, co pisze się w polskiej blogsferze, podatność nie dotyczy wyłącznie starszych wersji Windowsa 10. Po prostu tylko nowe zostały załatane. Zabezpieczeni są użytkownicy Windowsa 10 w wydaniu Creators Update i Fall Creators Update (kolejno 1703 i 1709). Pozostali, czyli choćby użytkownicy wciąż całkiem popularnej Anniversary Update nie mogą liczyć na to, ze Windows Hello stanowi choćby najsłabszą ochronę ich urządzeń. Zalecamy im aktualizację do nowszych wersji Windowsa, co w zasadzie rozwiązałoby problem i cała sprawa by przycichła. Rzecz w tym, że Microsoft uznał wyniki badań SYSS za wystarczająco nagłośnione i negatywnie wpływające na wizerunek jednego z najważniejszych produktów korporacji, aby się do tej kwestii ustosunkować. I trzeba przyznać, że zrobił to w sposób dość przewrotny – obwieszczając, że czas pozbyć się haseł.

Komunikat autorstwa Suzanne Choney, która już w tytule stwierdza, że istnieje rosnący problem z... tradycyjnymi hasłami. Nie takiej konstatacji można się było spodziewać w odpowiedzi na złamanie Windows Hello, a to dopiero pierwsze zaskoczenie. Hasła mają być trudne do formułowania, a przez to uciążliwe, a ich bezpieczeństwo podważają masowe wycieki danych z serwisów internetowych i innych usług. Na szczęście Microsoft ma rozwiązanie – jesteś nim ty, czyli użytkownik. Trzeba przyznać, że strategia poradzenia sobie z potencjalnym kryzysem wizerunkowym jest oryginalna.

Dalej mamy do czynienia z konglomeratem podziwu dla osiągnięć Microsoftu i skrawków wypowiedzi wyższej kadry kierowniczej korporacji. Żadnego ustosunkowania się do niskiego poziomu bezpieczeństwa rozumianej w dzisiejszy sposób biometrii, żadnej obietnicy zmiany podejścia na poziomie teoretycznym. Bo nie chodzi tu przecież o konkretne implementacje i mechanizmy porównywania wzorców – pod tym względem Windows Hello i tak było skuteczniejsze niż choćby mechanizmy wspomniane w kontekście Samsunga Galaxy S8 – tam posłużono się w pośpiechu (biometria stała się argumentem sprzedażowym) algorytmami przetwarzającymi obraz zaledwie w dwóch wymiarach.

Zaczęliśmy od nadziei i na niej skończmy – niełatwo dziś zachować nadzieję, że biometria w końcu będzie potraktowana poważnie. Co to znaczy? Odcisk palca, twarz, głos czy tęczówka to jawny składnik w procesie weryfikacji tożsamości. Porównajmy go do tradycyjnego modelu – loginu i hasła. Jawnym składnikiem jest oczywiście login! Dziś natomiast ten jawny biometryczny login służy za login, hasło, a w przypadku aplikacji bankowych także token. Szaleństwem nie jest wykorzystanie biometrii, szaleństwem jest wykorzystanie jej jako wyłącznego składnika logowania czy potwierdzania tożsamości w jakimkolwiek innym scenariuszu. Szaleństwem powoli zaczyna się wydawać także zwracanie na to uwagi producentom i liczenie na jakiekolwiek rezultaty – gdy zrobiłem to wobec projektanta aplikacji mobilnej jednego z dużych polskich banków, usłyszałem, że przecież z biometrii można nie korzystać.

A wszystko to dlatego, że w przypadku aplikacji mobilnej mBanku wprowadzenie biometrii w ogóle nie było powiązane z bezpieczeństwem. Była to nowa efektowna funkcja aplikacji, która miała przyciągnąć użytkowników. It's not a bug, it's a feature należałoby tutaj przekształcić na It's not protection, it's a feature. Gdyby biometrię implementowano rozsądnie (np. w modelu, gdzie odcisk palca stanowi login, a następnie podać trzeba jeszcze hasło czy PIN) to straciłaby ona swój główny walor, jakim jest źle pojmowana wygoda. Po co się wydurniać z odciskiem palca, skoro i tak trzeba podawać hasło. W ten sposób dwuskładnikową, a często dwustopniową weryfikację tożsamości zamienia się na wprowadzenie danych pozwalających na identyfikację klienta w bazie. Bo czy konto bankowe albo konto w systemie operacyjnym byłoby przez przeciętnego użytkownika uważane za chronione, jeśli do uzyskania dostępu wystarczyłby login?