Outils pour utilisateurs
Le site de Korben: Windows Hello - Quand votre visage devient copiable sur une clé USB
https://korben.info/windows-hello-hack.html
Windows Hello - Quand votre visage devient copiable sur une clé USB
Le 9 août 2025
par Korben ✨ -
Securite-Vie-PriveeCybersecurite
Vous vous souvenez du film Volte/Face avec Nicolas Cage et John Travolta ? Mais siii, c’est ce film où ils échangent leurs visages ? Bah les chercheurs allemands viennent de faire pareil avec Windows Hello, sauf qu’eux n’ont eu besoin que de deux lignes de code. Pas de chirurgie, pas d’effets spéciaux, juste un petit tour de passe-passe et hop, le PC croit que vous êtes votre collègue.
Le truc vient d’être montré en direct au Black Hat de Las Vegas par Tillmann Osswald et le Dr Baptiste David, deux chercheurs d’ERNW Research. Sur scène, David s’est connecté avec son visage, puis Osswald a tapé quelques commandes, et quelques secondes plus tard, il déverrouillait la machine de David avec son propre visage capturé sur un autre ordinateur. La sécurité biométrique de Microsoft vient de se faire avoir comme une débutante.
Ce qui rend cette attaque particulièrement sournoise, c’est qu’elle cible spécifiquement Windows Hello for Business, le système que Microsoft pousse à fond pour remplacer les mots de passe dans les entreprises. Vous savez, ce truc censé être ultra-sécurisé qui permet aux PC corporate de se connecter à Entra ID ou Active Directory avec juste votre belle gueule. Sauf que là, n’importe quel admin local malveillant ou compromis peut littéralement injecter sa tronche dans votre base de données biométrique.
Selon les informations techniques détaillées, l’attaque exploite une faiblesse dans CryptProtectData, le système censé protéger la base de données du Windows Biometric Service. Les chercheurs ont découvert qu’avec des droits admin locaux, on peut décrypter cette base et y injecter n’importe quelle empreinte biométrique.
Le plus fou dans cette histoire, c’est que Microsoft a bien une solution : Enhanced Sign-in Security (ESS). Ce système fonctionne au niveau hyperviseur avec une isolation VTL1 (Virtual Trust Level 1) qui bloque complètement l’attaque. Mais le problème c’est qu’il faut du matériel très spécifique pour que ça marche : un CPU 64 bits avec virtualisation hardware, une puce TPM 2.0, Secure Boot activé, et des capteurs biométriques certifiés.
D’ailleurs, petit détail rigolo, même des ThinkPad achetés pourtant il y a un an et demi ne supportent pas ESS parce qu’ils ont des puces AMD au lieu d’Intel. Comme l’explique Osswald, “ESS est très efficace pour bloquer cette attaque, mais tout le monde ne peut pas l’utiliser.”
Pour vérifier si vous êtes protégé, Microsoft recommande donc d’aller dans les paramètres Windows : Comptes → Options de connexion. Si vous voyez une option “Se connecter avec une caméra externe ou un lecteur d’empreintes digitales”, et qu’elle est sur OFF, ESS est activé. Quand ce toggle est OFF, vous êtes protégé mais vous ne pouvez plus utiliser de périphériques externes. Par contre, quand il est ON, vous pouvez utiliser vos gadgets mais vous êtes vulnérable.
Cette recherche fait partie du programme Windows Dissect, financé par l’Office fédéral allemand pour la sécurité informatique (BSI), un projet de deux ans qui se termine au printemps prochain. Et apparemment, ce n’est que le début car les chercheurs promettent d’autres révélations sur Windows dans les mois qui viennent. Ce qui inquiète vraiment la communauté, c’est que le fix n’est pas simple. Les experts estiment qu’il faudrait soit réécrire une partie significative du code, soit stocker les données biométriques dans le TPM, ce qui n’est peut-être même pas faisable techniquement…. Breeef, en attendant, la recommandation officielle pour les entreprises sans ESS est radicale : Désactivez complètement la biométrie et revenez au bon vieux code PIN.
Microsoft pousse agressivement tout le monde vers la biométrie depuis de nombreux mois, pour justement se débarrasser des mots de passe, mais quand je vois que leur solution de contournement recommandée est… de revenir aux codes PIN, j’avoue qu’on commence un peu à marcher sur la tête.
Et le support complet des périphériques externes avec ESS n’est pas prévu avant fin 2025 toujours selon Microsoft donc d’ici là, si vous utilisez Windows Hello for Business sans le hardware compatible ESS, vous jouez littéralement à la roulette russe avec l’identité de vos employés.
Ça montre donc que la biométrie n’est pas la solution miracle mais juste une autre forme d’authentification avec ses propres failles. Maintenant, la différence, c’est que quand quelqu’un vole votre mot de passe, vous pouvez le changer. Mais quand quelqu’un compromet votre système biométrique… bah vous changez de visage comme Cage et Travolta ?
Source
Cet article peut contenir des images générées à l'aide de l'IA
Photo de Korben
Vous avez aimé cet article ?
Alors rejoignez ma communauté sur Patreon et accédez à des articles exclusifs, des tutos avancés et plein d'autres surprises que je réserve à mes soutiens. C'est grâce à vous que je peux continuer à partager ma passion depuis 20 ans !
Rejoindre l'aventure
Que faire après le bac quand on est passionné de cybersécurité ?
Contenu partenaire
Logo de l'école de Cybersécurité Guardia
Tracking Matomo Guardia
Entièrement dédiée à la cybersécurité, l'école Guardia est accessible soit directement après le bac (post-bac), soit après un bac+2 ou bac+3. En rejoignant l'école Guardia, vous deviendrez développeur informatique option cybersécurité (Bac+3) ou expert en cybersécurité (Bac+5).
Cliquez ici pour en savoir plus
Photo de Korben
Korben
Bienvenue sur mon site ! Ici je bidouille, teste & casse des trucs et décortique l'actu tech depuis 20 ans. Alors si ça vous plait, rejoignez l'aventure !
Devenir Patreon →
Soutenez-nous sur Twitch
Mes slashes
🍉
/now - Mon actu
📟
/uses - Mon setup
Articles Récents
Windows Hello - Quand votre visage devient copiable sur une clé USBWindows Hello - Quand votre visage …
Joanna Rutkowska - La hackeuse polonaise qui a terrorisé Intel et codé l'OS préféré de SnowdenJoanna Rutkowska - La hackeuse polonaise …
VulnHuntr - L'IA qui trouve des failles 0day dans votre code PythonVulnHuntr - L'IA qui trouve des failles …
Servy - Transformez n'importe quel .exe en service WindowsServy - Transformez n'importe quel .exe …
Cursor CLI - GPT-5 directement dans votre terminal (et c'est gratuit)Cursor CLI - GPT-5 directement dans …
SlouchDetector - Quand votre webcam vous rappelle de vous tenir droitSlouchDetector - Quand votre webcam vous …
Suivez le chef!
Patreon
Twitter
Instagram
TikTok
Youtube
Newsletter
Flux RSS
Twitch
Bannière présentant divers métiers de la cybersécurité
Illustration représentant un ingénieur en cybersécurité au travailIngénieur cybersécurité
Représentation visuelle du travail d'un cryptologue avec des symboles de chiffrementCryptologue
Image symbolisant le travail d'un pentester testant la sécurité d'un systèmePentester
Représentation d'un hacker éthique travaillant sur la sécurité informatiqueHacker éthique
Illustration d'un consultant en cybersécurité en train de conseiller un clientConsultant cybersécurité
Rejoignez la communauté
Rejoignez la communauté
Sur Patreon
Patreon
Twitter
Instagram
TikTok
Youtube
Newsletter
Flux RSS
Twitch
Illustration décorative bébé Korben
Le site de Korben, média indépendant soutenu par ses Patreons
Icône menu hamburger
Icône changement de police
Icône changement de thème
Icône recherche
2004 - 2025 Le site de Korben, marque déposée. Tous droits réservés. Auteurs, mentions légales, contact et maintenant.
Si le contenu ne vous plaît pas, ne le lisez pas.
https://%ip%:4444
Ping (erfordert Windows mit Anpassungen)
Ping (Ping.eu)
Robtex IP Lookup
Google Search
http://%ip%
https://%ip%
ftp://%ip%
ssh://%ip% (erfordert Windows mit Anpassungen)
whois.domaintools.com/%ip%
https://www.shodan.io/search?query=%ip%
https://mxtoolbox.com/SuperTool.aspx?action=blacklist%3a%ip%&run=toolpage
you see this when javscript or css is not working correct