Windows Hello: La autentificación facial es superada por una mera fotografía

Windows Hello, la nueva característica de seguridad de escaneo facial que se integró en Windows 10 con la actualización Fall Creators, ha sido derrotada con el uso de una simple imagen impresa. Los encargados de dar a conocer este fracaso fueron los investigadores de seguridad de la empresa alemana SYSS, los cuales han vencido a Windows Hello en una gran variedad de equipos con un hardware muy dispar empleando el sistema operativo Windows 10 en todas sus versiones.

SYSS probó el dispositivo Surface Pro 4 de Microsoft, que ejecutaba la Actualización de Aniversario de Windows 10 del año pasado, y descubrió que era vulnerable. Incluso la función antiespía de Microsoft de Windows Hello no ayudó a proteger los sistemas que ejecutan versiones anteriores de Windows 10. SYSS descubrió que si la función antifalsificación está deshabilitada en la Creators Update (lanzada a principios de este año) o la actualización de Fall Creators (publicada en Octubre), entonces aún se puede evitar Windows Hello.

Incluso aplicando la última actualización de Windows 10 Fall Creators, que corrige el exploit, puede no ser suficiente para placar el ataque. Los usuarios de Windows 10 que previamente configuraron Windows Hello en una versión anterior de Windows 10 (como la Actualización de Aniversario del año pasado) seguirán siendo vulnerables. Los investigadores de seguridad recomiendan que los usuarios de Windows 10 con Windows Hello habilitado restablezcan la configuración y configuren nuevamente el reconocimiento facial, además de asegurarse de que se habilite la suplantación de identidad.

Este tipo de ataque requiere una imagen impresa del usuario autenticado con una cámara infrarroja, por lo que no es exactamente fácil de completar con éxito. En el pasado hemos visto ataques de falsificación similares para el escáner facial del Samsung Galaxy S8, aunque en dicho caso se requería de una fotografía normal y mucho menos sofisticada.