Unter dem Namen Windows Hello fasst Microsoft die Möglichkeiten zur biometrischen Anmeldung zusammen. Neben Fingerabdruckscannern unterstützt das System auch Gesichtserkennung. Dafür ist zwingend eine Webcam nötig, die neben einem normalen Bildsensor auch ein Infrarotbild des Computer-Besitzers anfertigen kann. Das Problem: Eine Kamera kann auch im gesperrten Zustand an den Computer angeschlossen und zur Identifikation genutzt werden. Genau das haben sich Sicherheitsexperten jetzt zunutze gemacht, um das System auszuhebeln.

Die Sicherheitsforscher des Unternehmens Cyberark haben dazu ein USB-Gerät gebaut, das an Windows ein Infrarotbild des Computerbesitzers übermittelt. Auf die Art konnte der Computer entsperrt werden, ohne dass der Besitzer überhaupt im Raum war. „Unsere Ergebnisse zeigen, dass jedes USB-Gerät geklont werden kann, und dass sich jedes USB-Gerät als ein anderes USB-Gerät ausgeben kann. Das Betriebssystem kann die Authentizität eines solchen Geräts nicht überprüfen, zumindest nicht gemäß der USB-Spezifikation“, erklärt Omer Tsarfati von Cyberark gegenüber Wired.

Microsoft hat mittlerweile Updates für die betroffenen Windows-10-Versionen veröffentlicht. Nach Ansicht von Cyberark wird das Angriffspotenzial damit abgeschwächt. Systembedingt müsse die Gesichtserkennung aber immer noch den Daten eines Peripheriegeräts glauben. Als mögliche Lösung dafür schlagen die Sicherheitsexperten vor, dass Windows die Integrität des Geräts vor dem Einsatz überprüfen sollte.

Es ist unklar, ob das von Cyberark aufgedeckte Angriffsszenario bereits tatsächlich von Hackern ausgenutzt wurde. Letztlich bräuchte ein Angreifer immerhin ein Infrarotbild des Opfers und physischen Zugang zu dessen Computer. Relevant wäre die Sicherheitslücke daher vor allem für Spionage.