// CLUBIC — HARDWARE & GADGET
Le gouvernement allemand vient de faire du reverse engineering sur Windows Hello
Le BSI, l'agence fédérale allemande de cybersécurité, publie 169 pages d'analyse technique sur Windows Hello for Business, obtenues en partie par reverse engineering. Conclusion inattendue : un PIN long peut être plus sûr que la biométrie.
Le gouvernement allemand ne fait pas que conseiller sur la cybersécurité, il regarde également ce qu'il se passe les capots. Le BSI (Bundesamt für Sicherheit in der Informationstechnik) vient de publier le premier volet de sa série « Windows seziert », soit « Windows disséqué ». La cible choisie pour inaugurer cette série, c'est Windows Hello for Business, la solution d'authentification par PIN et biométrie que Microsoft destine aux entreprises pour remplacer les mots de passe traditionnels par des clés cryptographiques.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Le document ne se contente pas de décrire l'architecture connue de Windows Hello for Business. Selon Heise, le BSI a reconstruit par reverse engineering des processus internes de la solution, en adoptant le point de vue d'un attaquant disposant de droits d'administrateur local sur la machine. Plutôt qu'une évaluation marketing ou qu'un audit de conformité, nous avons alors une dissection technique.
Pour rappel, Windows Hello for Business s'appuie sur une authentification par clé cryptographique qui reste sur l'appareil, idéalement protégée par un Trusted Platform Module (TPM). Les utilisateurs s'authentifient directement via un PIN, la reconnaissance faciale ou une empreinte digitale. C'est précisément ce que le BSI a choisi de passer au crible, du point de vue d'un attaquant, et non d'un administrateur.
C'est probablement la conclusion qui surprend le plus. Le BSI indique qu'un PIN long peut, sous certaines conditions, offrir une meilleure protection que la biométrie, dès lors que cette dernière n'est pas couplée à l'Enhanced Sign-in Security de Microsoft. Autrement dit, la reconnaissance faciale ou l'empreinte digitale ne constituent pas un bouclier absolu si la couche de sécurité renforcée n'est pas activée.
Une agence gouvernementale qui publie 169 pages d'analyse par reverse engineering sur un produit Microsoft largement déployé en entreprise, c'est un niveau d'exigence technique peu courant dans le paysage institutionnel. D'ailleurs, du côté de Microsoft, c'est probablement considéré comme une pratique allant à l'encontre de ses conditions d'utilisation. Mais que va faire l'éditeur de Redmond face au BSI ? Quoi qu'il en soit, la conclusion sur le PIN long mérite d'être prise au sérieux par les équipes IT qui font confiance à la biométrie sans avoir activé l'Enhanced Sign-in Security.