Функцию распознавания лиц в Windows 10 можно обмануть фотографией

Функцию распознавания лиц в Windows 10 можно обмануть фотографией

Функцию распознавания лиц в Windows 10 можно обмануть фотографией

Функцию распознавания лиц, реализованную в Windows 10 Creators Update, получившую имя Hello, можно обмануть обычной фотографией. Об этой уязвимости сообщили эксперты компании Syss, проводящей тестирования на проникновение.

Даже если вы установили октябрьские обновления, которые, по идее, устраняют недостаток (билд 1703 или 1709), функцию распознавания лиц придется настроить с нуля, чтобы исключить подобный вектор атаки.

Простые атаки типа «спуфинг» — в этом случае достаточно напечатанной фотографии авторизованного пользователя (сделанной на фронтальную камеру), чтобы злоумышленник мог войти в заблокированную систему Windows 10.

По словам Syss, уязвимость затрагивает как стандартную конфигурацию Windows Hello, так и ее расширенную функцию защиты от спуфинга.

«Если защита от спуфинга активирована, злоумышленнику придется использовать немного измененную фотографию с другими атрибутами, но сути и простоты вектора атаки это не меняет», — отмечают эксперты.

Исследователи протестировали свою атаку на Dell Latitude под управлением Windows 10 Pro, сборка 1703, а также на Microsoft Surface Pro с билдом 1607.

Ниже мы приводим три видеоролика с доказательством концепции.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru