Windows Helloによる顔認証、顔写真で突破される

あるAnonymous Coward 曰く、

独セキュリティ企業のSySSは18日、Windows 10に搭載されている生体認証システム「Windows Hello」の顔認証が、印刷写真で突破できるという脆弱性を発表した。Windows Helloによる顔認証には、「拡張スプーフィング(なりすまし)対策」機能が用意されているものの、既定で無効となっているほか、グループポリシーから明示的に有効にする必要がある。また、Microsoftの2in1「Surface Pro 4」などの対応機種でないと利用できない。

ただし、今回発見された攻撃では、拡張スプーフィング対策機能が有効化されていても通用するという。攻撃に必要とされるのは「ユーザーの正面からの顔写真であること」「近赤外線カメラで撮影した写真であること」「画像の明るさとコントラストが調整されていること(単純な画像処理としている)」「上記の画像をレーザープリンタで印刷すること」の条件を満たした写真だとしている。BLEEPINGCOMPUTERによると340×340ピクセルの写真を印刷したもので実験は行われたとのこと。

対策としては強化された拡張スプーフィングに対応したWindows 10バージョン1709にアップデートすることだとしている（PCWatch、BLEEPINGCOMPUTER、Slashdot）。