Ter verduidelijking, vereenvoudigd: als je met een vingerafdruk inlogt op Windows op één van de bovengenoemde apparaten, en zo'n apparaat wordt later gestolen of in beslaggenomen, dan kan de dief of inbeslagnemer als jou inloggen zonder over jouw vingerafdruk te beschikken. Vervolgens kan de aanvaller natuurlijk ook op al jouw cloudaccounts inloggen waar uitsluitend een vingerafdruk voor nodig is (denk aan het ontgrendelen van een wachtwoordmanager of het inloggen met passkeys). De eerste potentiële kwetsbaarheid hierbij is dat genoemde apparaten gebruik maken van vingerafdruksensoren waarbij fuzzy hashes van vingerafdrukken in de sensor zélf worden opgeslagen. Nadat de sensor een vingertopje heeft herkend, stuurt deze een bij de vingerafdruk horende identifier naar de host (moederbord met CPU etc). Die potentiële kwetsbaarheid wordt concreet indien de host een identifier voor een bestaand account accepteert die door een aanvaller (in plaats van door de sensor) naar de host wordt gestuurd, dus zonder ...