本文经AI新媒体量子位（公众号ID：QbitAI）授权转载，转载请联系出处。WindowsHello，相信大家都不陌生。毕竟，它曾被誉为“最简单的登录方式”——刷脸，立马解锁电脑。但就在最近，它被曝出了一个大bug：只需要外接一个USB摄像头，2帧图像。然后“啪”的一声，进来了……WindowsHello最近在人脸解锁方面不是很擅长，可以说是近几年越来越火了。和苹果的iPhone、iPad一样，可以使用内置的前置摄像头解锁。不过Windows电脑的人脸识别解锁不仅可以使用内置摄像头，还可以配合第三方网络摄像头使用。因此，这一点成功引起了安全公司Cyber??Ark一位研究员的注意。他认为，老式网络摄像机在采集和传输数据的过程中，安全性比较差。目前市面上很多人脸解锁都是采用RGB人脸解锁方式。但是网络摄像头除了RGB传感器外还有红外线传感器。于是研究人员对WindowsHello做了一些研究。除非亲眼所见，否则你永远不会了解事物的全部范围”。他感到很惊讶：WindowsHello甚至不查看RGB数据。这是什么意思？黑客只需向您的PC发送两个帧，就可以简单地欺骗您的WindowsHello。其中一帧是目标的真实红外捕获数据，而另一帧是空白的黑色帧，第二帧用来欺骗WindowsHello的合法性验证，操作也可以说是相当简单了，连接一个外接USB网络摄像头并传输图像，WindowsHello会误认为“哦！主人出现了”……对此，研究人员做了如下解释：我们试图找到人脸识别中最脆弱的环节，并看看什么是最有趣、最简单的方法。我们创建了一个完整的WindowsHello人脸识别流图，发现最简单的“破解”方法就是伪装成网络摄像头，因为整个系统都依赖于它的输入。微软回应：已经出补丁的破解方法听起来有点简单可行.于是，微软第一时间回应：这是WindowsHello安全特性的绕过漏洞。并且在本月13日发布了一个补丁来解决这个问题。不过Cyber??Ark还是给用户提出了这样的建议：建议使用增强版的WindowsHello登录方式。这种方法使用微软的“基于虚拟化的安全性”来加密WindowsHello的面部数据。而且这些数据都是在内存保护区处理的，这样数据就不会被篡改。那么接下来的问题是，为什么Cyber??Ark会选择攻击WindowsHello呢？对此，该公司的解释如下：从行业角度来看，研究人员对PIN码破解、欺骗指纹传感器等方法做了大量研究工作。其次，WindowsHello覆盖的用户数量可以说是相当庞大。根据微软去年5月的数据，这项服务拥有超过1.5亿用户；而在去年12月，微软甚至表示84.7%的Windows10用户使用WindowsHello登录。但或许你更关心的是自己是否会受到影响。目前，无需担心这方面的问题。因为这种攻击方式听上去很简单，但是对于不是黑客的人来说，实施起来还是有难度的。包括网友也纷纷评论：很酷的方法，不过普通用户不用担心。最后，研究人员表示：我们早就知道这种攻击方式，我们对微软还是比较失望的。他们并没有对摄像头的安全性和可靠性提出更严格的要求。
