Windows Hello: Microsoft streicht Funktionalität in dunkleren Umgebungen

[DrWindows]

Windows Hello: Microsoft streicht Funktionalität in dunkleren Umgebungen
von Kevin Kozuszek

Sofern ihr Windows 10 oder Windows 11 mittels Gesichtserkennung entsperrt, müsste ihr künftig noch stärker auf eine ausreichende Beleuchtung an eurem Arbeitsplatz achten. Aufgrund einer kürzlich behobenen Schwachstelle hat Microsoft die Funktionalität von Windows Hello in dunkleren Umgebungen eingeschränkt. Neben Infrarotsensoren ist nun auch eine Farbkamera Pflicht, um den eigenen Rechner zu entsperren. Alternativ kann man natürlich andere Möglichkeiten wie die PIN oder den Fingerabdruck nutzen.

Zuerst berichteten die Kollegen von Windows Central darüber. Momentan scheint es noch einen Workaround zu geben, indem man die Webcam im Geräte-Manager deaktiviert. Wie lange man diesen in Redmond aber noch offen lässt, bleibt abzuwarten.

Der Beitrag Windows Hello: Microsoft streicht Funktionalität in dunkleren Umgebungen erschien zuerst auf Dr. Windows.

+ alles anzeigen - weniger anzeigen

Hinweis: Der Artikel wird möglicherweise nicht vollständig angezeigt, eingebettete Medien sind in dieser Vorschau beispielsweise nicht zu sehen.

Artikel im Blog lesen

 

[Svensson]

Face ID wird im September 8 Jahre alt und schafft es auch bei völliger Dunkelheit sicher das Gesicht zu erkennen um den Bildschirm zu entsperren, gespeicherte Passwörter einzusetzen und Zahlungen zu veranlassen. Eine Meisterleistung von Apple oder spart Microsoft einfach nur am falschen Ende?

 

[Martin]

Die Funktion, die Apple bei Microsoft abgekupfert hat (FaceID kam später), ist in kritischen Unternehmensumgebungen im Einsatz, da darf es bei der Sicherheit nicht die kleinste Ausnahme geben.

 

[Download-Fritz]

Sorry, aber ein Blick auf die Historie von Windows Hello zeigt, dass daran noch nie etwas auch nur in die Nähe von “kritischer Sicherheit” kam. Mehrmals mit Fotos entsperrt, mal mit einer Fake-Webcam, usw. usf. Für Face ID gibt es solche Vorfälle nicht - wenn auch falsch-positive Ergebnisse, die es bei beiden inhärent gibt.

Im kritischen Sicherheitsbereich nutzt niemand Face ID, aber ganz sicher auch nicht Windows Hello. Aus dem Bauch heraus und nach der öffentlichen Datenlage ist Face ID die bessere Technologie. Der Farbbildabgleich könnte auch eine mittelfristige Krücke sein, Details zur Lücke sind m.W. nicht öffentlich bekannt.

 

[anthropos]

Darüber lässt sich lange streiten, weil es keine stichhaltigen Untersuchungen gibt. (Soweit ich weiß, vielleicht weiß wer anderes mehr.)
Ich könnte auf diese Meinungen verweisen, aber eine gute Antwort lässt sich damit nicht finden und Angaben der Unternehmen selber sind mit Vorsicht zu genießen.
Die beste Empfehlung war, Biometrie nur zusätzlich zu verwenden, um einen weiteren Faktor zu haben, der überprüft wird.

Using biometrics

Advice for IT system administrators on using biometric authentication on smartphones, tablets, laptops and desktop PCs.

www.ncsc.gov.uk

The problem is that Apple does facial recognition and does it in a semi secure w... | Hacker News

news.ycombinator.com

Is face unlock authentication tech secure enough for the workplace?

Editor’s note: * Mason Lerner is a writer/editor in Houston, TX. He has covered tech trends in the lab, marketing and advertising industries for many publications.* When Apple announced its top-of-the-line iPhone X on September 12th, the company joined Samsung and Microsoft in offering face...

community.spiceworks.com

 

[areiland]

Die Funktion, die Apple bei Microsoft abgekupfert hat (FaceID kam später), ist in kritischen Unternehmensumgebungen im Einsatz, da darf es bei der Sicherheit nicht die kleinste Ausnahme geben.

Ehrlicherweise muss man dazu sagen, dass sobald die Farbkamera beim Login nicht verfügbar ist, die IR Kamera ausreicht um den Login zu vollziehen.

Und das kann man schon erreichen, indem man die Webcam beim Logout per Script deaktiviert und sie nach erfolgtem Login wieder aktivieren lässt.

Sind zwei Einträge in der Aufgabenplanung, die das beheben.

 

[Martin]

Sorry, aber ein Blick auf die Historie von Windows Hello zeigt, dass daran noch nie etwas auch nur in die Nähe von “kritischer Sicherheit” kam. Mehrmals mit Fotos entsperrt, mal mit einer Fake-Webcam, usw. usf. Für Face ID gibt es solche Vorfälle nicht

Von der "Fake-Webcam" weiß ich, für diesen Angriff wurden aber damals auch Infrarot-Aufnahmen des Nutzers benötigt, dessen Konto man knacken wollte. Dass man Windows Hello mit einem Foto überlistet hätte, wäre mir neu, lass gerne mal den Link zur Quelle hier.

Face ID wurde mit einer Maske ausgetrickst. Das ist schon ein paar Jahre her und funktioniert inzwischen sicherlich auch nicht mehr. Dein zweiter Halbsatz ist deshalb aber trotzdem falsch.

Auch Biometrie wird niemals hundertprozentig sicher sein. Aber solange die unsicherste aller Authentifizierungs-Methoden, nämlich das Passwort, noch so weit verbreitet ist, habe ich größere Sorgen.

 

[Download-Fritz]

@Martin Die Fotosache basiert auch auf IR-Aufnahmen, aber eben mit einer offiziellen Cam und einer Druckaufnahme: Specially prepared photos shown bypassing Windows Hello facial recognition (Originalquelle offline).

Das mit Face ID habe ich vielleicht auch falsch formuliert, ich meinte “relativ realistische/triviale” Vorfälle. Face ID entsperrt auch teilweise innerhalb der Familie einfach so, zumindest bei älteren Modellen, wenn man Glück hat. Aber für die von dir besagte Maske benötigte man einen (zumindest partiellen) 3D-Scan und eine (partielle) Farbaufnahme. Wenn man an beides ran (voll) kommt, kommt man an alle potentiell relevanten Faktoren und ab dann ist die Frage nur noch, wie viel Ressourcen man auf die Maske verwenden kann. Das ist eben das Risiko von Biometrie.

Ich glaube, bei “sicherheitskritisch” habe ich dich missverstanden. Für sicherheitsrelevanten aber nicht -kritischen Situation kann man ruhig Windows Hello verwenden. Den Kommentar bzgl. Face ID verstehe ich dann trotzdem nicht, weil es immer noch kein Anzeichen dafür gibt, dass Windows Hello Face ID mittlerweile überholt hätte und Apple aus mangelndem Anspruch kein Farbbild nehme - in vielen Aspekten der Cybersicherheit ist Apple der unangefochtene Platzhirsch im Prosumer-/Einzelplatzbereich.

In kritischen Bereichen hat man eigentlich immer Hardware-unterstützte Authentifizierung und oft ist Biometrie kategorisch verbannt.

 

[Utilisator Fenestrarum]

Mal eine Frage am Rande an die Experten:
Gesichtserkennung und Fingerabdruck lassen wir mal außer Acht.
Was ist der Sicherheits-Vorteil von Windows Hello mit PIN gegenüber einem Kennwort (lokales Konto), sofern er denn existiert?
Es erschließt sich mir noch nicht. Ist das nicht eher eine Reduktion der Sicherheit?

 

[Download-Fritz]

Das liegt am super seltsamen MS-System, dass man sich mit seinem MS-Konto-Passwort einloggen soll. Da dies komplex sein sollte und man sich i.d.R. nicht regelmäßig manuell damit anmelden will, gibt es eine PIN, bei der man laschere Standards ansetzt.

 

[Utilisator Fenestrarum]

Mein PC läuft mit lokalem Konto
Das MS-Konto wurde nur als Abo-Konto benötigt, als ich noch MS-Office hatte.
Ich melde mich doch nicht mit MS-Konto bei Windows an, nur um zu erleben, wie mein Rechner geräte-verschlüsselt wird, der Bitlocker-Key in der Cloud landet und ich dann aus nichtigen Gründen irgendwann ausgesperrt werde.

Microsoft Konto gesperrt - und der Support stellt sich tot

In den letzten Tagen haben sich mehrere Nutzer bei uns gemeldet, deren Microsoft Konto gesperrt wurde. Die Betroffenen sollen angeblich gegen den Servicevertrag verstoßen haben, sind sich allerdings keiner Schuld bewusst. Das allergrößte Problem aber ist: Der Support von Microsoft... Klicke...

www.drwindows.de

Nebenbei: Mein Rechner läuft mit Windows Pro und ist Bitlocker-geschützt, aber manuell und lokal eingerichtet.

 

[Potrimpo]

Mal eine Frage am Rande an die Experten:
Gesichtserkennung und Fingerabdruck lassen wir mal außer Acht.
Was ist der Sicherheits-Vorteil von Windows Hello mit PIN gegenüber einem Kennwort (lokales Konto), sofern er denn existiert?
Es erschließt sich mir noch nicht. Ist das nicht eher eine Reduktion der Sicherheit?

Der PIN funktioniert ausschließlich lokal am Gerät. Das Ausspähen/Keyloggen der PIN-Nummer ist also irrelevant, wenn nicht gleich das Gerät selbst mit gestohlen wird.

Ein ausgespähtes/keygeloggtes Password ist an jedem beliebigen Gerät einsetzbar (soweit online-Konten beteiligt sind) oder wenn jemand auf das Netzwerk Zugriff erlangt hat.

 

[Utilisator Fenestrarum]

Da es ein lokales Konto ist, kann es auf keinem anderen Gerät/online genutzt werden.
Mit dem Netzwerk wird es interessant, aber das ist nur im Haushalt relevant, so lange keiner die Fritzbox hackt (Zugriff aus dem Internet ist deaktiviert) und von außen eindringt.

 

[Martin]

Bei einem lokalen Konto mit Passwort ist die PIN keine Alternative und bietet auch keine höhere Sicherheit.
Wenn jemand das Passwort Deines lokalen Kontos ausspäht, kann er damit außer auf Deinem Rechner sowieso nichts anfangen.
Es geht, wie @Potrimpo richtig geschrieben hat, um eine Absicherung des Online-Kontos. Gibt man nie ein Passwort ein, kann es auch nicht mitgelesen werden.