Commentaires : Vous avez un compte Amazon ? Adieu le mot de passe et la vérification en deux étapes!

[MattS32]

@Rainforce

Que penses tu de cette analyse ? est-on bien d’accord ?

Yep, avec la caméra c’est vraiment super rapide, et sans avoir à faire d’action particulière. L’empreinte, c’est aussi rapide, mais ça nécessite une action (à noter quelques cas intelligents, par exemple sur les Galaxy Book, quand on appuie sur le bouton power, même si l’OS n’est pas encore démarré, le capteur garde la signature de l’empreinte et la passe à l’OS dès qu’il a démarré, ce qui évite de remettre le doigt sur le capteur), et le PIN c’est un peu plus lent, avec un petit risque en plus de se le faire piquer.

@Rainforce

Donc tu confirmes que pour Windows Hello, SEUL l’objectif et le flash IR suffise pour l’authentification Windows Hello ? D’ailleurs peut-on s’authentifier aussi sans le flash IR ?

Sans l’objectif couleur, ça marche, c’est devenu ma config par défaut. Sans le flash IR, ça ne marche pas avec ma Brio, ça reste bloqué que « Nous vous recherchons » :

Attention, ça ne veut pas forcément dire que c’est le cas avec toutes les webcam Hello, certaines ont peut-être un capteur plus sensible… Mais toutes celles que j’ai pu voir ont un flash IR.

@Rainforce

Je ne sais pas trop ce qu’est un objectif IR ( Infrarouge ? ), mais du coup que voit il ? que capte t’il exactement ?

Oui, c’est ça, infrarouge. Il voit une image du visage en noir est blanc. L’avantage par rapport à une prise de vue en couleurs visibles, c’est que les contrastes et ombres sont quasiment indépendants de l’éclairage ambiant, et que c’est totalement à l’abri d’une attaque par photo.

À partir de cette image, Hello repère un certain nombre de points caractéristiques et ce sont ces points caractéristiques qui sont comparés au modèle de référence (l’image complète n’est jamais stockée, seulement sa signature via ces points caractéristiques, comme pour les empreintes).

Si tu veux en savoir plus, il y a quelques explications complémentaires chez Microsoft (en anglais) : Windows Hello face authentication | Microsoft Learn

[Rainforce]

@MattS32

@MattS32

Yep, avec la caméra c’est vraiment super rapide, et sans avoir à faire d’action particulière. L’empreinte, c’est aussi rapide, mais ça nécessite une action (à noter quelques cas intelligents, par exemple sur les Galaxy Book, quand on appuie sur le bouton power, même si l’OS n’est pas encore démarré, le capteur garde la signature de l’empreinte et la passe à l’OS dès qu’il a démarré, ce qui évite de remettre le doigt sur le capteur), et le PIN c’est un peu plus lent, avec un petit risque en plus de se le faire piquer.

1. Merci pour toutes ces précisions.

@MattS32

Sans le flash IR, ça ne marche pas avec ma Brio, ça reste bloqué que « Nous vous recherchons » … Attention, ça ne veut pas forcément dire que c’est le cas avec toutes les webcam Hello, certaines ont peut-être un capteur plus sensible… Mais toutes celles que j’ai pu voir ont un flash IR.

2. Flash IR, cela veut dire qu’il y’a un Flash « qui éblouie » ( lol ) ou c’est juste une Led qui s’allume ?

@MattS32

Il voit une image du visage en noir est blanc. L’avantage par rapport à une prise de vue en couleurs visibles, c’est que les contrastes et ombres sont quasiment indépendants de l’éclairage ambiant, et que c’est totalement à l’abri d’une attaque par photo.

3. Ok.

@MattS32

partir de cette image, Hello repère un certain nombre de points caractéristiques et ce sont ces points caractéristiques qui sont comparés au modèle de référence (l’image complète n’est jamais stockée, seulement sa signature via ces points caractéristiques, comme pour les empreintes).

4. D’accord et cela fonctionne vraiment bien ? faut s’y reprendre s’y on bouge ? faut être bien en face ? il y’a t’il des contraintes à l’usage ?

@MattS32

Si tu veux en savoir plus, il y a quelques explications complémentaires chez Microsoft (en anglais) : Windows Hello face authentication | Microsoft Learn

5. Ok, effectivement je vais aller voir tout cela, ce genre d’Auth. m’interesse et le Black Friday / Noel arrivent à grand pas …

6. Une dernière question un peu HS. est-ce que des extensions / plugins navigateurs peuvent d’aprés toi enregistrer / récupérer les pass de Bitwarden ? Il me semble que je t’ai vu parler de ça, mais juste pour la phase de « weblogin » basique / manuel ( sans Bitwarden ) il me semble, donc je me pose aussi cette question.

Un très grand merci pour tout ce savoir que tu partages ici.
Cordialement,

[MattS32]

@Rainforce

Flash IR, cela veut dire qu’il y’a un Flash « qui éblouie » ( lol ) ou c’est juste une Led qui s’allume ?

C’est un flash fait par une LED, mais principalement en lumière infrarouge, donc ça n’éblouis pas, puisqu’on ne le voit pas. On voit juste une lumière rouge scintillante, pas du tout éblouissante (là aussi, ça peut peut-être dépendre des modèles… sur la Logitech Brio et la Lenovo 500 en tout cas, c’est comme ça), surtout qu’on ne regarde pas spécialement la caméra à ce moment là.

@Rainforce

D’accord et cela fonctionne vraiment bien ? faut s’y reprendre s’y on bouge ? faut être bien en face ? il y’a t’il des contraintes à l’usage ?

Globalement, quand je suis en position normale d’utilisation de mon ordinateur, ça passe à tous les coups sans rien faire de particulier. Quand je prends un peu de recul, il arrive qu’il me demande de me rapprocher.

@Rainforce

st-ce que des extensions / plugins navigateurs peuvent d’aprés toi enregistrer / récupérer les pass de Bitwarden ?

Les récupérer dans l’extension Bitwarden, à priori non, les extensions ont normalement chacune leur propre contexte « privé » inaccessible aux autres.

Par contre quand Bitwarden (ou n’importe quel autre gestionnaire de mot de passe) remplis le mot de passe dans un formulaire de connexion, là une extension malveillante pourrait le récupérer. Ça tu ne peux rien faire contre, les extensions ont accès au DOM (l’objet qui représente la page web dans le moteur du navigateur), et dans ce DOM les mots de passe sont accessibles en clair. Tu ne peux prendre que des mesures préventives, en surveillant de temps en temps ta liste d’extension pour voir s’il n’y aurait pas un indésirable qui se serait glissé dans le lot.

[Rainforce]

@MattS32

C’est un flash fait par une LED, mais principalement en lumière infrarouge, donc ça n’éblouis pas, puisqu’on ne le voit pas. On voit juste une lumière rouge scintillante, pas du tout éblouissante (là aussi, ça peut peut-être dépendre des modèles… sur la Logitech Brio et la Lenovo 500 en tout cas, c’est comme ça), surtout qu’on ne regarde pas spécialement la caméra à ce moment là.

1. Ok.

@MattS32

Globalement, quand je suis en position normale d’utilisation de mon ordinateur, ça passe à tous les coups sans rien faire de particulier. Quand je prends un peu de recul, il arrive qu’il me demande de me rapprocher.

2. Ok.

@MattS32

Les récupérer dans l’extension Bitwarden, à priori non, les extensions ont normalement chacune leur propre contexte « privé » inaccessible aux autres.

3. Ok.

@MattS32

Par contre quand Bitwarden (ou n’importe quel autre gestionnaire de mot de passe) remplis le mot de passe dans un formulaire de connexion, là une extension malveillante pourrait le récupérer. Ça tu ne peux rien faire contre, les extensions ont accès au DOM (l’objet qui représente la page web dans le moteur du navigateur), et dans ce DOM les mots de passe sont accessibles en clair. Tu ne peux prendre que des mesures préventives, en surveillant de temps en temps ta liste d’extension pour voir s’il n’y aurait pas un indésirable qui se serait glissé dans le lot.

4. Fichtre !

@MattS32

On peut même sur certaines avoir la reconnaissance faciale tout en cachant l’objectif : la reconnaissance facile passe par un capteur dédié, dans l’infrarouge. Bien sûr, ce capteur pourrait en théorie aussi servir à espionner. Mais en pratique, c’est une autre affaire, car il n’est pas accessible directement comme le capteur principal, et en plus pour fonctionner correctement il doit aussi allumer le « flash » IR de la webcam, qui émet en général aussi dans le visible.

@MattS32

Oui, c’est ça, infrarouge. Il voit une image du visage en noir est blanc. L’avantage par rapport à une prise de vue en couleurs visibles, c’est que les contrastes et ombres sont quasiment indépendants de l’éclairage ambiant, et que c’est totalement à l’abri d’une attaque par photo.

5. Cela veut-il dire par exemple qu’en obturant « l’objectif couleur » on ne peut absolument pas faire une Visio classique ( en noir et blanc ) en choisissant « l’objectif IR » ?. Ou autrement dit, la source IR n’est pas rendu accessible ( pour nous utilisateurs ) et donc on ne peut pas voir ce que cela donne, ou ce que Windows Hello voit ?

[MattS32]

@Rainforce

Cela veut-il dire par exemple qu’en obturant « l’objectif couleur » on ne peut absolument pas faire une Visio classique ( en noir et blanc ) en choisissant « l’objectif IR » ?. Ou autrement dit, la source IR n’est pas rendu accessible ( pour nous utilisateurs ) et donc on ne peut pas voir ce que cela donne, ou ce que Windows Hello voit ?

D’après ce que j’ai lu, certains logiciels peuvent exploiter le capteur IR et montrer ce qu’il voit.
Mais c’est pas reconnu comme une caméra normale, donc dans les logiciels classiques ça sera pas accessible.

Je vais essayer d’en trouver un qui y arrive, parce que j’aimerai bien voir ce que le capteur est capable de voir sans le flash IR (donc potentiellement sans que je me rende compte que la caméra est active…).

[Rainforce]

@MattS32

D’après ce que j’ai lu, certains logiciels peuvent exploiter le capteur IR et montrer ce qu’il voit.
Mais c’est pas reconnu comme une caméra normale, donc dans les logiciels classiques ça sera pas accessible.

Je vais essayer d’en trouver un qui y arrive, parce que j’aimerai bien voir ce que le capteur est capable de voir sans le flash IR (donc potentiellement sans que je me rende compte que la caméra est active…).

1. Ok. Hâte d’avoir ton retour à ce sujet. Moi je vais aller regarder ce qui se fait en Cam. Windows Hello. Il faudra que je m’en prenne une, voir deux.

Encore merci pour tout.