BSI seziert Windows Hello: Wo Microsofts Anmeldung an Grenzen st\u00f6\u00dft<\/p>\n
close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) hat die erste technische Analyse aus seinem Projekt \u201eWindows seziert\u201c ver\u00f6ffentlicht. Die 169 Seiten lange Untersuchung nimmt Windows Hello for Business (WHfB) auseinander \u2013 Microsofts Anmeldung per PIN oder Biometrie f\u00fcr Unternehmensumgebungen. Anders als die offizielle Dokumentation beschreibt die Analyse nicht nur die Architektur, sondern rekonstruiert zahlreiche interne Abl\u00e4ufe per Reverse Engineering und bewertet sie aus Sicht eines Angreifers mit lokalen Administratorrechten.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Windows Hello for Business ersetzt klassische Passw\u00f6rter durch schl\u00fcsselbasierte Anmeldungen. Nutzer authentifizieren sich lokal per PIN oder biometrischem Merkmal wie Gesicht oder Fingerabdruck. Das eigentliche Geheimnis \u2013 ein kryptografischer Schl\u00fcssel \u2013 bleibt auf dem Ger\u00e4t, idealerweise gesch\u00fctzt durch das Trusted Platform Module (TPM). Gegen\u00fcber Active Directory oder Microsoft Entra ID weist sich anschlie\u00dfend nicht das Passwort, sondern das Ger\u00e4t mit diesem Schl\u00fcssel aus.<\/p>\n Die Analyse des BSI<\/a> best\u00e4tigt diesen grunds\u00e4tzlichen Aufbau von Windows Hello for Business. Gleichzeitig beschreibt sie mehrere Einschr\u00e4nkungen und Angriffsm\u00f6glichkeiten, die Microsoft zwar teilweise erw\u00e4hnt, aber deutlich weniger ausf\u00fchrlich bewertet.<\/p>\n TPM sch\u00fctzt nicht alle biometrischen Daten<\/p>\n Eine der wichtigsten Erkenntnisse betrifft die Rolle des TPM. In der offiziellen Dokumentation gilt es als zentrale Schutzkomponente von Windows Hello. Laut BSI trifft das jedoch nicht uneingeschr\u00e4nkt zu.<\/p>\n Ohne den Sicherheitsmodus Enhanced Sign-in Security (ESS) sch\u00fctzt das TPM die biometrischen Vorlagen f\u00fcr die Gesichtserkennung nicht direkt. Diese werden zwar verschl\u00fcsselt auf dem lokalen System gespeichert, der daf\u00fcr ben\u00f6tigte Schl\u00fcssel bleibt jedoch ebenfalls lokal verf\u00fcgbar. Nach Einsch\u00e4tzung des BSI k\u00f6nnen lokale Administratoren deshalb sowohl die Datenbank als auch die gespeicherten Templates entschl\u00fcsseln.<\/p>\n Erst mit aktiviertem ESS \u00e4ndert sich dieses Sicherheitsmodell grundlegend. Dann werden sicherheitskritische Teile der biometrischen Verarbeitung in eine durch Virtualization-based Security (VBS) gesch\u00fctzte Umgebung verlagert. Zus\u00e4tzlich kommt das TPM unter anderem f\u00fcr HMAC-basierte Autorisierungstickets und Replay-Schutz zum Einsatz.<\/p>\n Das BSI empfiehlt deshalb ausdr\u00fccklich, ESS zu aktivieren \u2013 sofern geeignete Hardware vorhanden ist. Gleichzeitig weist die Beh\u00f6rde darauf hin, dass bislang nur sehr wenige Sensoren diesen Modus vollst\u00e4ndig unterst\u00fctzen. Bereits 2023 hatten Sicherheitsforscher mehrere Fingerabdrucksensoren f\u00fcr Windows Hello<\/a> angegriffen.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Biometrie liefert keine zus\u00e4tzliche Entropie<\/p>\n Besonders kritisch bewertet die Studie die Sicherheitsannahmen hinter biometrischer Anmeldung. Das BSI argumentiert, dass biometrische Merkmale im Gegensatz zu einer PIN keine zus\u00e4tzliche Entropie in das System einbringen.<\/p>\n Der Unterschied liegt im Ablauf der Anmeldung. Eine PIN liefert bei jeder Anmeldung neues Wissen des Benutzers. Biometrische Merkmale dienen dagegen lediglich dazu, lokal den Zugriff auf bereits vorhandenes Schl\u00fcsselmaterial freizugeben. F\u00fcr einen Angreifer mit administrativen Rechten befinden sich damit alle f\u00fcr die Authentifizierung ben\u00f6tigten Komponenten bereits auf dem Rechner.<\/p>\n Deshalb bewertet das BSI eine ausreichend lange PIN in Kombination mit TPM und dessen Brute-Force-Schutz teilweise g\u00fcnstiger als die biometrische Anmeldung ohne ESS. Diese Einsch\u00e4tzung gilt allerdings ausdr\u00fccklich f\u00fcr das Bedrohungsmodell eines Angreifers mit lokalen Administratorrechten. Vor typischen Angriffen wie Phishing oder Passwortdiebstahl sch\u00fctzt Windows Hello for Business wie gehabt, indem das eigentliche Authentifizierungsgeheimnis das Ger\u00e4t nicht verl\u00e4sst.<\/p>\n Mehrere Benutzer auf einem Ger\u00e4t erh\u00f6hen das Risiko<\/p>\n Aus der Analyse leitet das BSI au\u00dferdem eine ungew\u00f6hnlich konkrete Empfehlung f\u00fcr Unternehmen ab: Pro Ger\u00e4t sollte m\u00f6glichst nur ein Benutzer f\u00fcr Windows Hello registriert werden.<\/p>\n Grund ist die lokale Verwaltung der biometrischen Datenbank: Befindet sich auf einem Rechner bereits das biometrische Template eines anderen Dom\u00e4nenbenutzers, k\u00f6nnte ein lokaler Administrator dieses theoretisch manipulieren oder dessen Identit\u00e4t \u00fcbernehmen. Voraussetzung daf\u00fcr ist allerdings, dass der betreffende Benutzer zuvor bereits auf genau diesem Ger\u00e4t registriert wurde.<\/p>\n Die Beh\u00f6rde ordnet dieses Risiko in den breiteren Security-Kontext ein. Ein lokaler Administrator verf\u00fcge ohnehin bereits \u00fcber zahlreiche M\u00f6glichkeiten zur Rechteausweitung, etwa \u00fcber Pass-the-Hash- oder Pass-the-Ticket-Angriffe. Windows Hello for Business er\u00f6ffne hier keinen v\u00f6llig neuen Angriffsweg, sondern erweitere das bestehende Bedrohungsmodell.<\/p>\n Reverse Engineering schlie\u00dft Dokumentationsl\u00fccken<\/p>\n \u00dcber die Sicherheitsbewertung hinaus liefert die Analyse zahlreiche bislang nicht dokumentierte technische Details. Das BSI rekonstruiert unter anderem den vollst\u00e4ndigen Authentifizierungsablauf zwischen FaceCredentialProvider, Windows Biometric Service, Microsoft Passport, LSASS und Kerberos. Au\u00dferdem beschreibt die Analyse interne RPC-Schnittstellen, die Struktur der biometrischen Datenbank sowie den Aufbau der Schl\u00fcsselhierarchie.<\/p>\n Die Autoren weisen zudem auf L\u00fccken in Microsofts Entwicklerdokumentation hin. W\u00e4hrend die Fingerabdruckerkennung vergleichsweise gut beschrieben sei, fehle f\u00fcr die Gesichtserkennung an mehreren Stellen weiterf\u00fchrende Dokumentation, etwa zu asynchronen API-Aufrufen oder internen Schnittstellen des Windows Biometric Frameworks.<\/p>\n Auch praktische Tests enth\u00e4lt die Untersuchung. So beobachteten die Autoren, dass schlecht durchgef\u00fchrte Registrierungen \u2013 etwa mit Schal, Kapuze und Brille \u2013 die Wahrscheinlichkeit von Fehlidentifikationen erh\u00f6hen k\u00f6nnen. Au\u00dferdem gelang es ihnen, Gesichtsmasken erfolgreich zu registrieren und sp\u00e4ter mit derselben Maske in anderer Farbgebung erneut erkannt zu werden. Solche Ergebnisse betreffen nach Darstellung des BSI jedoch die konkrete Umsetzung der Gesichtserkennung<\/a> und nicht die kryptografische Architektur von Windows Hello for Business.<\/p>\n Mit der Ver\u00f6ffentlichung beginnt das BSI seine angek\u00fcndigte Reihe \u201eWindows seziert\u201c. In den kommenden Monaten sollen weitere Analysen, unter anderem zu Protected Process Light (PPL) und Control Flow Guard (CFG), folgen.<\/p>\n
\n English<\/a>.<\/p>\n