Black Hat USA 2025 | Windows Hell No for Business

Windows Hello 在 2015 年被微軟引入，目的是以生物辨識取代密碼。對企業環境而言，Windows Hello for Business 的核心機制是：在用戶完成生物登記後，系統為其生成一組非對稱金鑰對，公鑰上傳至身份提供商（Active Directory 或 Entra ID），私鑰保存在本地 TPM 中，此後以加密挑戰的形式向網域驗證身份。而生物辨識本身的作用，是透過「手勢 → 保護金鑰 → 身份驗證金鑰 → 用戶 ID 金鑰」的鏈式釋放機制，讓系統在確認「是這個人」之後才釋放用於簽名的私鑰。

在 Windows 生物辨識服務（WinBio Service）的內部架構中，感測器資料由硬體驅動傳入核心模式，再透過廠商提供的驅動程式轉換後進入用戶模式服務。服務內部以適配器（Adapter）架構組織：Sensor Adapter 負責採集、Engine Adapter 負責 AI 比對（輸出 0～1 的閾值判斷），Storage Adapter 負責從本地加密資料庫存取模板。所有通訊透過稱為「管道（Pipeline）」的函數指標結構進行，客戶端應用程式永遠無法直接讀取生物特徵原始資料，只能透過 RPC 取得識別結果，從而保護隱私邊界。

然而，研究員發現這套架構存在一個根本性的信任邊界問題。資料庫的加密標頭使用微軟的 DPAPI（`CryptProtectData`）保護，而這個函式在 System 帳戶下執行，意味著任何擁有本地管理員權限的帳戶，都可以呼叫 `CryptUnprotectData` 解密整個資料庫，包括讀取每位用戶的生物模板、加密金鑰與 SID 綁定關係。攻擊者因此可以：解密某用戶的模板、注入自己的生物特徵資料、重新加密並更新資料庫中的雜湊完整性標頭，使系統在下次人臉辨識時，將攻擊者的臉識別為被攻擊用戶。在現場演示中，研究員以本地管理員身份執行工具，成功將自己的臉替換進另一位研究員的帳戶模板，隨後在網域環境中以對方身份完成 Windows Hello 登入。

緩解方向有兩個層次。硬體層面，應啟用 ESS（Enhanced Sign-in Security）模式，它利用 Hypervisor 的 VTL1 隔離環境運行獨立的生物辨識服務，VTL0 的管理員即使取得系統權限也無法存取 VTL1 的記憶體，從根本阻斷此攻擊路徑；但此模式需要支援安全感測器的攝影機硬體（通常為 Intel 平台），AMD 平台目前尚不支援。軟體層面，若無法啟用 ESS，建議每台客戶端僅允許一位用戶登記生物辨識（縮小攻擊面）、改以 PIN 碼驗證替代（PIN 提供密碼學熵，並受 TPM anti-hammering 機制保護），並對 WinBio 服務的資料庫存取行為進行監控告警。