5월, Microsoft는 새로운 계정 설정에 패스키 및 Windows Hello와 같은 대체 수단을 활용하도록 기본 설정함으로써 비밀번호 없는 미래로의 중요한 전환을 시작했습니다.이러한 움직임은 보안을 강화하는 동시에 사용자 접근을 간소화하려는 더 큰 추세의 일환입니다.
그러나 독일 연구원 틸만 오스발트와 밥티스트 데이비드 박사가 라스베이거스에서 열린 블랙햇 컨퍼런스에서 발표한 최근 연구 결과에 따르면 Windows Hello 비즈니스 버전의 취약점이 드러났습니다.이들의 시연은 시스템의 생체 인식 보안을 침해하는 방법을 보여주었습니다.
사건 당시 데이비드 박사는 얼굴 인식을 사용하여 기기에 성공적으로 로그인했지만, 로컬 관리자 권한을 가진 공격자 오스월드는 일련의 명령을 악용했습니다.그는 다른 컴퓨터에서 캡처한 얼굴 스캔 데이터를 대상 시스템의 생체 인식 데이터베이스에 입력했습니다.놀랍게도, 공격자가 몸을 기울여 데이비드 박사임을 인식하자 기기는 망설임 없이 잠금 해제되었습니다.
취약성 이해
문제의 핵심은 Windows Hello 비즈니스 프레임워크의 내부 작동 방식에 있습니다.시스템이 처음 설정될 때 공개 키/개인 키 쌍이 생성되며, 공개 키는 Entra ID와 같은 조직의 ID 제공업체를 통해 등록됩니다.생체 인식 데이터는 Windows 생체 인식 서비스(WBS)가 관리하는 암호화된 데이터베이스에 저장되지만, 현재의 암호화 방식은 로컬 관리자 권한을 가진 공격자를 차단하지 못해 이 중요한 데이터의 암호를 해독하는 경우가 있습니다.
솔루션으로서의 향상된 로그인 보안
이러한 취약점을 해결하기 위해 Microsoft는 향상된 로그인 보안(ESS)을 도입했습니다.이 기능은 생체 인증 프로세스를 시스템 하이퍼바이저가 관리하는 안전한 환경으로 효과적으로 격리합니다.그러나 ESS를 구현하려면 하드웨어 가상화를 지원하는 최신 64비트 CPU, TPM 2.0 칩, 펌웨어의 보안 부팅, 그리고 적절하게 인증된 생체 인식 센서 등 특정 하드웨어가 필요합니다.
ESS는 이러한 공격을 차단하는 데 매우 효과적이지만, 모든 사람이 사용할 수 있는 것은 아닙니다.예를 들어, 저희는 약 1년 반 전에 ThinkPad를 구입했는데, 안타깝게도 Intel 칩이 아닌 AMD 칩을 사용하기 때문에 카메라 보안 센서가 없습니다.
앞으로의 도전
ESS의 효과에도 불구하고, ESS가 아닌 시스템의 기존 취약점에 대한 포괄적인 패치는 상당한 어려움을 야기합니다. Osswald와 David에 따르면, 완전한 재설계 없이 근본적인 아키텍처 문제를 해결하는 것은 불가능합니다.따라서 ESS 없이 Windows Hello를 사용하는 기업은 생체 인증을 완전히 비활성화하고 PIN과 같은 대안을 선택하는 것을 고려해야 합니다.
ESS 호환성을 확인하는 방법
시스템이 ESS를 지원하는지 확인하려면 설정으로 이동하여 계정 아래의 “로그인 옵션”을 확인하세요.”외부 카메라 또는 지문 인식기로 로그인”이라고 표시된 토글을 찾으세요.이 스위치가 꺼져 있으면 ESS가 활성화되어 USB 지문 인식기를 사용하여 로그인할 수 없습니다. ESS를 켜면 ESS 기능이 비활성화되어 외부 장치가 작동할 수 있지만, 보안이 약화될 위험이 있습니다.
Microsoft 에 따르면 Windows Hello와 호환되는 일부 주변 기기는 ESS를 활성화할 수 있습니다.이 기능 자체가 보안 문제를 야기하지는 않지만, 기기 사용을 복잡하게 만듭니다. Microsoft는 호환되는 모든 주변 기기를 항상 연결해 둘 것을 권장하며, ESS를 통해 외부 기기에 대한 완전한 지원은 2025년 말까지 미뤄질 것으로 예상됩니다.
답글 남기기