L'accesso unificato Windows Hello di Microsoft in arrivo su Android e iOS

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/telefon...ios_64910.html

L'azienda di Redmond pronta a portare il sistema di autenticazione biometrica Windows Hello su iPhone e su Android. L'utente potrà quindi sbloccare il device per accedere a servizi con più sicurezza. Ecco come funzionerà

Click sul link per visualizzare la notizia.

[inited]

Capirei usare il Touch ID su iPhone per l'autenticazione, e a quel punto pure l'Apple Watch. Ma sarei molto scettico sull'autenticazione via telecamera ad esempio, mi pare che per farla funzionare correttamente ci voglia una telecamera stereoscopica aderente allo standard di Intel RealSense, e non ce ne sono nemmeno tante in commercio di "vere", figurarsi la telecamera da selfie di un qualsiasi telefono? Questo visto che si parla di riconoscimento facciale.

[Marok]

Originariamente inviato da inited

Capirei usare il Touch ID su iPhone per l'autenticazione, e a quel punto pure l'Apple Watch. Ma sarei molto scettico sull'autenticazione via telecamera ad esempio, mi pare che per farla funzionare correttamente ci voglia una telecamera stereoscopica aderente allo standard di Intel RealSense, e non ce ne sono nemmeno tante in commercio di "vere", figurarsi la telecamera da selfie di un qualsiasi telefono? Questo visto che si parla di riconoscimento facciale.

Infatti la fotocamera sarà utilizzabile solo su dispositivi con una fotocamera idonea. Windows Hello funziona anche con l'impronta nei dispositivi che la supportano.

[giovanni69]

E quindi in sostanza dove avere costretto l'utente ad accedere solo se ha un account email, che poi verrà associato prima o poi ad un numero di telefono per la doppia verifica dell'account... adesso pure vogliono i dati biometrici.

Ma stiamo scherzando?!! Ma quanto big data implementano in continuazione ... e con facebook che già riconosce i visi...

Quindi immagino che nell'EULA poi ci sarà scritto che MS potrà avere dei diritti di sfruttamento dei dati biometrici da poter cedere ad entità tipo http://www.customerclever.co.uk/portfolio/id/

[inited]

Originariamente inviato da Marok

Infatti la fotocamera sarà utilizzabile solo su dispositivi con una fotocamera idonea. Windows Hello funziona anche con l'impronta nei dispositivi che la supportano.

E infatti ho parlato di Touch ID su Apple. Ma per "telecamera idonea" stiamo parlando di hardware che di fatto ancora non trova diffusione, ho i miei dubbi che qualche produttore voglia implementare un design con telecamere distanziate agli angoli del frontale del proprio dispositivo...

[damxxx]

Originariamente inviato da inited

Capirei usare il Touch ID su iPhone per l'autenticazione, e a quel punto pure l'Apple Watch. Ma sarei molto scettico sull'autenticazione via telecamera ad esempio, mi pare che per farla funzionare correttamente ci voglia una telecamera stereoscopica aderente allo standard di Intel RealSense, e non ce ne sono nemmeno tante in commercio di "vere", figurarsi la telecamera da selfie di un qualsiasi telefono? Questo visto che si parla di riconoscimento facciale.

La camera non deve essere per forza un RealSense, non deve essere stereoscopica e né aderire ad un fantomatico "standard di Interl RealSense", basta che sia una camera ad infrarossi con relativo illuminatore.
Sul Surface Pro 4 c'è, non è una RealSense e non ci sono "telecamere distanziate agli angoli del frontale del proprio dispositivo".
In ogni caso se i produttori non vogliono integrare il supporto al riconoscimento facciale possono sempre utilizzare il riconoscimento dell'iride come sul 950.

Originariamente inviato da giovanni69

E quindi in sostanza dove avere costretto l'utente ad accedere solo se ha un account email, che poi verrà associato prima o poi ad un numero di telefono per la doppia verifica dell'account... adesso pure vogliono i dati biometrici.

Ma stiamo scherzando?!! Ma quanto big data implementano in continuazione ... e con facebook che già riconosce i visi...

Quindi immagino che nell'EULA poi ci sarà scritto che MS potrà avere dei diritti di sfruttamento dei dati biometrici da poter cedere ad entità tipo http://www.customerclever.co.uk/portfolio/id/

Non è per nulla così.
A cominciare dal fatto che non c'è nessun obbligo di utilizzare un dispositivo con un indirizzo email (quantomeno non quelli Windows).

Windows Hello non è altro che l'implementazione di Microsoft, all'interno di Windows, di uno standard chiamato FIDO e sulle cui API anche il W3C sta sviluppando un sistema di autenticazione Web.
Questo standard prevede un sistema di autenticazione forte senza l'uso di password e basato sulle chiavi asimmetriche.
Si tratta di un sistema abbastanza complesso composto da due parti le quali in un primo momento avevano due nomi distinti, Windows Hello e Windows Passport, ma recentemente Microsoft ha fatto una dichiarazione secondo la quale si sarebbe riferita sempre a tutti e due le parti come a Windows Hello.

Mentre l'un utente è in possesso di una chiave di crittografia privata, all'app o al servizio al quale ci si sta registrando viene consegnata la chiave pubblica. Quello che, in un primo momento dal rilascio di Windows 10, veniva chiamato Windows Passport è dove, nella pratica, vengono conservate le chiavi private dell'utente.

Quando l'utente prova ad autenticarsi, l'applicazione (o il servizio) invia all'utente (quello che nelle specifiche viene chiamato) un challenge il quale viene crittografato con la chiave privata posseduta dall'utente e restituito nuovamente all'app, a questo punto l'app decripta il challange con la chiave pubblica dell'utente e verifica se il challenge decriptato è uguale a quello inviato, in caso positivo l'utente viene autenticato.

La seconda parte di Windows Hello (al quale MS si riferiva sempre come Windows Hello) è quel componente che autorizza il processo di autenticazione attraverso l'uso di un sistema biometrico, cioè quando un utente prova ad accedere ad un servizio o ad un'app che necessitano di autenticazione (e che supportano lo standard FIDO) il sistema notifica all'utente che questo servizio o questa app richiedono all'utente di autenticarsi (inviando il challenge) e chiede all'utente stesso di autorizzare il processo che ho descritto prima, per autorizzare tale processo è si utilizza un sistemi di autenticazione locale che può essere basato su un tradizionale username e password, un PIN o sistemi biometrici (impronte digitali, riconoscimento facciale, vocale, dell'iride) dungle USB, smartcard, dispositivi o tag NFC, altri sistemi.
Questo sistema di autenticazione locale serve solo a confermare che è stato l'utente a voler esplicitamente accedere a quel servizio.

Le informazioni che vengono scambiate fra il client e l'app o il servizio sono solo la chiave pubblica ed il challenge, le informazioni per l'autenticazione locale non vengono in alcun modo condivise.
Tanto è vero che se il servizio viene utilizzato su un dispositivo che implementa lo standard FIDO non deve integrare al suo interno il supporto al riconoscimento facciale (o quello che sia), ma sarà il client a supportare i vari sistemi mentre il servizio dovrà solo gestire le chiavi pubbliche degli utenti (i quali possono averne più di una) ed i challenge.

Attenzione a quando si parla di autenticazione locale, lo standard FIDO è nato sostanzialmente per i servizi Web, ma può essere utilizzato anche per accedere ad applicazioni locali installate sul client (come permette Windows Hello) ed i cui dati sono locali.
Anche in questo caso l'unica cosa che viene scambiata fra l'app ed il sistema di autenticazione è la chiave pubblica ed il challenge, mentre i dati per l'autorizzazione del processo sono del tutto ignoti all'applicazione e non riceve in alcun modo queste informazioni.

PS: per fare la verifica a due fattori non si deve necessariamente utilizzare un numero di telefono (almeno non per tutti i servizi, quantomeno quelli più seri, e personalmente cerco di evitare quelli che utilizzano solo il cellulare), ma si può utilizzare l'email e soprattutto le apps.
Fra l'altro esiste uno standard per la generazione di OTP (il TOTP) e quindi è possibile utilizzare una sola app per tutti quei servizi che utilizzano questo standard (Microsoft, Facebook, Google, Saleforce, GitHub, DropBox, AWS, WordPRess, LastPass, EVernote, e molti altri)

[inited]

Originariamente inviato da damxxx

La camera non deve essere per forza un RealSense, non deve essere stereoscopica e né aderire ad un fantomatico "standard di Interl RealSense", basta che sia una camera ad infrarossi con relativo illuminatore.
Sul Surface Pro 4 c'è, non è una RealSense e non ci sono "telecamere distanziate agli angoli del frontale del proprio dispositivo".
In ogni caso se i produttori non vogliono integrare il supporto al riconoscimento facciale possono sempre utilizzare il riconoscimento dell'iride come sul 950.

Molto interessante, anche se sono d'accordo con Kaspersky che l'uso dei dati biometrici in sé esponga più a rischi di quanti benefici porti..

[giovanni69]

Originariamente inviato da damxxx

....

Non è per nulla così.
A cominciare dal fatto che non c'è nessun obbligo di utilizzare un dispositivo con un indirizzo email (quantomeno non quelli Windows).

Windows Hello non è altro che l'implementazione di Microsoft, all'interno di Windows,....cut..

Abbi pazienza ma a parte la questione di sicurezza ed i tecnicismi circa l'autenticazione che descrivi il punto è che basta una modifica dell'EULA per rendere un OS o un metodo di autenticazione più o meno 'privato', esattamente come l'EULA di Win 10 Pro non è uguale ad un Win 10 LTSB. Non solo, anche sul piano tecnico avvengono scambi di dati diversi verso i server Microsoft.

Quindi con una società in cui i propri dati sia sul PC che sul loro cloud può essere oggetto di esercizi di diritti su di essi anche per il mero scopo pubblicitario (e lo chiami poco, visto che siamo animali consumatori condizionati e condizionabili nelle nostre libertà), un bel giorno ti ritrovi una modifica del'EULA il cui FIDO &C può essere gestito da società esterna...esattamente come avviene per i nostri dati bancari circa i quali le nostre banche devono sì rispettare la privacy ma tanto poi quel dato viene gestito ancheall'estero e quindi... punto a capo.

Quanto ci vuole dunque che i dati biometrici finiscano nelle mani di una società come quella Clever, magari passando anche lì per il pagamento mediante carta di credito (in cui avrai ceduto alla società emittente i tuoi dati di consumo)? Esattamente come chi ha fornito il proprio numero di telefono e tutto quanto su whatsapp adesso si ritrova 'associabile' su facebook. I termini di utilizzo tra i due sono diversi ma Zuckenberg ci sta provando. Tant'è che in Germania è stato bloccato. E da noi il garante ha chiesto seri chiarimenti.

E se non accetti? Smetti di poter utilizzare il tuo device, il tuo PC, la app ecc.

"le email ma soprattutto le app"?
E le app non si sono già prese il mio numero di telefono, oltre che la mia rubrica...?

La 2-step autentication via numero di cellulare è il primo tentativo che fanno o ti lasciano intendere le varie società, magari adducendo anche lì ogni genere di ragioni di sicurezza. E chissà come mai anche Yahoo è sempre lì che minaccia ogni volta, rimandando, di chiedermi sempre maggiori dati. Eppure la mia seconda email ce l'ha! Eppure ci prova..ancora ed ancora.. ed ho cambiato i miei dati ben dopo il 2014...anche di recente...
E quando MS un bel giorno mi avvertirà che milioni di dati biometrici sono stati trafugati?
Perchè non esistono sanzioni PESANTISSIME quando avvengono questi mostruosi ritardi nella comunicazione al pubblico di dati sensibili trafugati? Ma perchè da qualche parte nelle EULA ci sarà un disclaimer che afferma che 'nessun sistema di sicurezza è sicuro al 100%.. ci possono essere 'eventi'.. ecc.." e un po' di legalese per dire che quando loro dimostrano di aver adottato lo stato dell'arte, beh non possono farci niente se poi qualche hacker dimostra che quelle misure sono state insufficienti.

Ed una volta poi che i dati biometrici, chiave privata o meno, sono stati trafugati, l'identità digitale biometrica se ne è andata a farsi friggere.
Non basta cambiare il numero di carta di credito, lo smartphone o il PC a quel punto.

La privacy ed i rischi derivanti da queste implementazioni di sicurezza dovrebbe essere materia di educazione civica a scuola (si insegna ancora?) oltre che negli uffici pubblici e privati ed invece si fa solo pubblicità per sbattere tutto sul cloud... come se fosse la panacea di tutti i mali, senza rendersi conto che si sta parlando di un PC di uno sconosciuto a cui affidare la nostra vita digitale.

Ah, giusto ma tanto con il riconoscimento biometrico ci andrò a mettere solo le foto dell'estate sullo smartphone... leggetevi questo qui.

[damxxx]

Non ho capito quale è il punto riguardo al fatto che l'EULA di Windows 10 Pro e della Enterprice LTSB siano diverse, mi stupirei se fossero uguali visto che sono destinate a scenari ed utilizzzi diversi(altrimenti nel n ci sarebbe stata la necessità di avere due SKU diverse...).

Per il resto sono vogliamo tenere a parte le questioni tecniche non stai facendo altro che elucubrazioni sul nulla e speculazioni su quello che potrebbe o non potrebbe forse accadere in futuro.
In ogni caso restando sul tema con lo standard FIDO e Windows Hello come ho già detto (ma avrai volutamente ignorato) non c'è nessuno scambio di dati biometrici con nessun server.
Che poi l'unico dato biometrico che potrebbero essere scambiato (cosa che, ripeto non avviene) sarebbe un hash, non è che con questi sistemi di riconoscimento biometrico vanno in giro per la rete immagini della propria faccia o della propria iride o delle impronte digitali o un file audio con la propria voce. Ma ciò che succede è che a partire da queste informazioni viene generato un codice di hash dal quale è impossibile ricostruire il dato originario.
Senza contate che né questo hash, tantomeno il dato biometrico grezzo (l'immagine dell'impronta ad esempio) sono utili per autenticarsi ad alcun servizio o app

Forse non sai come funzionano le apps per l'autenticazione a due fattori o mi sono spiegato male, ma io utilizzo tale tipo di autenticazione, utilizzando l'app di Microsoft, per accedere ai servizi di Microsoft senza aver mai dato il mio numero di telefono a nessuno, tantomeno a Microsoft.

[giovanni69]

Forse non mi sono spiegato: non sono le questioni tecniche quelle rilevanti di Hello o FIDO ma il fatto che prima o poi quelle legali, EULA o accordi tra società fanno sì che quello che viene raccolto da una app, da un client, da un OS, prima o poi finisce per essere un segreto di pulcinella in cui tra loro si scambiano tutti i dati e tu non sai mai chi ha che cosa... anche perchè a che serve chiedere la cancellazione dei dati quando ormai li hanno già venduti a terze parti o vengono già gestiti in territorio con legislazioni diverse? Quindi il tuo numero di telefono gestito dalla tal app es. whatsapp un bel giorno finisce nel dB di facebook... ed a FB che già è in grado di riconoscere i visi dei profili utenti un bel giorno cederà a Clever ID.. e MS credi che stia a guardare? Così come Google si sta mangiando twitter.
A che serve chiedere tali cancellazioni se poi nel frattempo un leak nei loro server ha già fatto trapelare magari milioni di dati biometrici o sono già stati trasferiti?
Hanno pure pubblicato il passaporto di Michelle Obama..a proposito di elucubrazioni. Vai a farti il totale delle centinaia di milioni di utenze trafugate dai vari servizi in questi anni anche senza scomodare il mezzo miliardo di utenti di Yahoo. Immagina se quegli account fossero dati biometrici. Chi restituirebbe un'identità trafugata a quelle persone? Qui si parla di gestire elettronicamente identità personali come se fosse un profilo di facebook o twitter o come se si stesse giocando con FaceSwap o MSQRD. E del resto stanno abituando sempre più le persone a fregarsene delle implicazioni sulla privacy.

E vorrei proprio vedere che la EULA di Win 10 fosse uguale ad una enterprise LTSB. E' più rischioso anche per MS scherzare con aziende che potrebbero farti causa se fosse dimostrato che i dati aziendali sono stati utilizzati da MS in un qualche modo (leggi spionaggio industriale)...o del traffico tra il PC ed i loro server non ha a che fare con aggiornamenti ma uso di dati che una certa azienda potrebbe voler tenere per sè. Mentre ce ne vuole prima che una class action agisca per i titolari di una Win 10 Pro e probabilmente sarebbe indimostrabile il danno (diversamente dallo scenario aziendale del primo caso). E di certo gli avvocati di MS ci hanno pensato bene prima di permettere ai programmatori di trattare nello stesso modo un OS che di per sua natura è sempre più invasivo della privacy. P.S. Non so se te ne sei accorto ma sulla LTSB non esiste Cortana...

>>Senza contate che né questo hash, tantomeno il dato biometrico grezzo (l'immagine dell'impronta ad esempio) sono utili per autenticarsi ad alcun servizio o app>>

Certo, fino a quando poi non inventeranno una killer app irrinunciabile per cui l'utente sarà costretto ad usare quell'impronta... magari in accordo con qualche banca. Oppure finisce nella banca dati della PA quando verrà diffusa la nuova identità personale digitale (SPID). Ed intanto abituano, forzano, circuiscono le persone fin da bambini a giochicchiare con qualcosa che nel mondo reale vale sempre più quanto la salute.

Non riescono a tutelare nemmeno i nostri numeri di telefono, figuriamoci delle identità con dati biometrici.

[Unrealizer]

@giovanni69: i dati biometrici non lasciano il dispositivo

[giovanni69]

Sì, certo... poi chi mette in piedi i servizi con dati biometrici prima pensa al business e poi alla sicurezza come ad es. il MasterCard Identity Check:

"Attualmente Mastercard non ha ben chiarito le misure di sicurezza adottate per proteggere i dati raccolti da eventuali attacchi hacker. “Ci stiamo attrezzando per l'archiviazione dei dati. Le impronte digitali verranno conservate in locale sui device. Al momento stiamo lavorando a una conversione dei dati di riconoscimento facciale per archiviarli sotto forma di dati criptati”, ha dichiarato l'azienda. "

E cosa è richiesto come strumento per evitare di non mettere un video di fronte ad un riconoscimento per pagare? "battere le ciglia"

Quindi se registro magari un video in cui batti le ciglia ad una festa, poi posso prendere quel video ed usarlo per fare i pagamenti?

E quando perdi il telefonino non perderai più solo SMS, email o le foto.. (se non hai fatto il backup) ma anche la tua identità biometrica. Che faccio? Vado in sala operatoria per cambiarmela?... non è mica facile come andare in comune e chiedere una carta di identità nuova..
I complottisti dicono che vogliano arrivare ad impiantarci un RFID sottocute.. beh, a che serve opporsi se basterà un selfie certificato con FIDO, Hello, per identificarci per ogni genere di accesso e pagamento (due forme di libertà) che ci riguarda.

[Unrealizer]

Originariamente inviato da giovanni69

Sì, certo... poi chi mette in piedi i servizi con dati biometrici prima pensa al business e poi alla sicurezza come ad es. il MasterCard Identity Check:

"Attualmente Mastercard non ha ben chiarito le misure di sicurezza adottate per proteggere i dati raccolti da eventuali attacchi hacker. “Ci stiamo attrezzando per l'archiviazione dei dati. Le impronte digitali verranno conservate in locale sui device. Al momento stiamo lavorando a una conversione dei dati di riconoscimento facciale per archiviarli sotto forma di dati criptati”, ha dichiarato l'azienda. "

E cosa è richiesto come strumento per evitare di non mettere un video di fronte ad un riconoscimento per pagare? "battere le ciglia"

Quindi se registro magari un video in cui batti le ciglia ad una festa, poi posso prendere quel video ed usarlo per fare i pagamenti?

E quando perdi il telefonino non perderai più solo SMS, email o le foto.. (se non hai fatto il backup) ma anche la tua identità biometrica. Che faccio? Vado in sala operatoria per cambiarmela?... non è mica facile come andare in comune e chiedere una carta di identità nuova..
I complottisti dicono che vogliano arrivare ad impiantarci un RFID sottocute.. beh, a che serve opporsi se basterà un selfie certificato con FIDO, Hello, per identificarci per ogni genere di accesso e pagamento (due forme di libertà) che ci riguarda.

No, video e foto non funzionano.
Se perdi il telefono non perdi comunque la tua identità perché

1. serve l'accesso biometrico per accedere ai dati biometrici
2. la chiave privata di cui parlava damxxx è nel TPM, che è un coprocessore sicuro apposta per questo

in ogni caso, è opzionale, puoi usare Passport anche con un semplice pin, Hello non è un requisito

[giovanni69]

Accesso biometrico per dati biometrici?

Guarda questi:
http://photon-x.com/3D_Biometrics.html

che riescono a prenderseli da soli i dati biometrici:



E tenendo conto di questi rischi... abituandoci sempre più a cedere parte della nostra identità per interessi nazionali o delle multinazionali:



ed arrivando poi a quello che è la logica del mio primo post:



Fonte:
https://www.blackhat.com/docs/us-15/...id-Them-wp.pdf


la chiave privata di cui parlava damxxx è nel TPM, che è un coprocessore sicuro apposta per questo

E chi mi assicura che il coprocessore non chiami casa (phone home di MS) come l'OS?
Non stiamo mica parlando di progetti open source.

Commento un precedente messaggio:

Originariamente inviato da damxxx

PS: per fare la verifica a due fattori non si deve necessariamente utilizzare un numero di telefono (almeno non per tutti i servizi, quantomeno quelli più seri, e personalmente cerco di evitare quelli che utilizzano solo il cellulare), ma si può utilizzare l'email e soprattutto le apps.
Fra l'altro esiste uno standard per la generazione di OTP (il TOTP) e quindi è possibile utilizzare una sola app per tutti quei servizi che utilizzano questo standard (Microsoft, Facebook, Google, Saleforce, GitHub, DropBox, AWS, WordPRess, LastPass, EVernote, e molti altri)

E perchè dunque Yahoo continua a chiedermi il cellulare quando ha già la mia seconda email?
Il punto è che i servizi sono sempre lì pronti a minacciarti falle di sicurezza pur di poter indurre l'utente ad impostare il numero di telefono come strumenti di verifica.

Inoltre quell'OTP che citi vorrei vedere le app lo sfruttano nello scambiarsi le informazioni grazie agli EULA, cookies, telemetria, e quant'altro e la gran parte dei servizi da te citati hanno base negli USA, ovvero Patriot Act, ecc., per lo stesso identico motivo per cui chi avesse a cuore la propria privacy non userebbe un cloud protetto da quella legislazione.