Se suponía que las claves de acceso acabarían con el robo de contraseñas. Sin contraseñas que robar mediante phishing, sin secretos que reutilizar y sin cadenas de caracteres almacenadas en una base de datos a la espera de ser filtradas.
Se cree que, con el tiempo, las claves de acceso reemplazarán por completo a las contraseñas. Pero, ¿qué sucede cuando un programa malicioso roba la clave maestra?
Investigadores han descubierto una forma de que el malware secuestre cuentas protegidas con contraseña a través del Administrador de contraseñas de Google, lo que pone de manifiesto una importante excepción: las contraseñas pueden ser muy seguras, pero el software que las rodea aún presenta vulnerabilidades.
¿Qué son las passkeys?
Las claves de acceso son una alternativa a las contraseñas basada en criptografía de clave pública. En lugar de una clave secreta que debes recordar y escribir, cada cuenta recibe un par de claves: la clave privada nunca sale de tus dispositivos y el sitio web solo ve la clave pública y los desafíos firmados. Dado que no hay nada reutilizable que se pueda usar para suplantar identidades o reutilizar en otro sitio, las claves de acceso se promocionan como resistentes al phishing y más seguras que las contraseñas almacenadas en un navegador o gestor de contraseñas.
Según se informa, a finales de 2024 Google afirmó que 800 millones de cuentas de Google utilizaban contraseñas.
Las claves de acceso tienen una gran ventaja sobre las contraseñas: no contienen información útil para un sitio de phishing. Además, una clave de acceso está vinculada al sitio web para el que fue creada, lo que dificulta enormemente engañar al usuario para que se autentique en un dominio incorrecto.
Otra diferencia importante es que, si un malware roba una bóveda de contraseñas, el atacante a menudo necesita superar un segundo factor de autenticación en otro dispositivo, como una aplicación de autenticación en el teléfono, antes de obtener el control total de la cuenta. Con las claves de acceso, muchos servicios que las utilizan simplemente confían en la autenticación de la clave, e incluso, en algunos casos, confían en una sola bandera de "usuario verificado" sin confirmar si se produjo un evento biométrico o PIN real.
El malware entra en juego.
Sin embargo, los investigadores comenzaron con un malware infectado. Windows Se analizaron tres posibles escenarios de ataque para robar las claves de acceso sincronizadas de Google. El Administrador de contraseñas de Google permite sincronizar las claves de acceso entre dispositivos, lo cual es práctico, ya que no es necesario registrar una nueva clave cada vez que se compra un ordenador nuevo. Sin embargo, esto también las expone a posibles abusos.
De peor a peor, los ataques son:
- Pass-ta-key : el malware en la computadora de la víctima pregunta silenciosamente Chrome y la nube de Google para crear un inicio de sesión con clave de acceso válida, sin necesidad de datos biométricos ni solicitud de PIN.
- Silver Pass-ta-key : este malware aprovecha el proceso de reinscripción del dispositivo para registrar su propia clave de verificación de usuario y, a continuación, inicia sesión como la víctima desde el ordenador del atacante sin tocar el dispositivo de la víctima.
- Golden Pass-ta-key : Este malware extrae el secreto del dominio de seguridad de Google (la clave maestra de cifrado), descifra todas las claves de acceso sincronizadas y puede reutilizarlas en cualquier lugar, incluso después de perder el acceso al dispositivo original.
Cómo mantenerse seguro
Los investigadores instan a los servicios a dejar de confiar ciegamente en la verificación de usuario y a validar adecuadamente que se haya producido un evento de verificación de usuario real antes de otorgar acceso. A su vez, se recomienda a Google que refuerce el registro y la recuperación de dispositivos, y que verifique que los nuevos dispositivos y claves estén respaldados por hardware auténtico en lugar de aceptarlos sin más.
Para los usuarios finales, las claves de acceso siguen ofreciendo una sólida protección contra los sitios web de phishing clásicos y los ataques de relleno de credenciales basados en contraseñas reutilizadas. El punto débil que se destaca aquí no es tanto el concepto de claves de acceso, sino la forma en que se implementan, sincronizan y se les otorga confianza sin una verificación suficiente en el servidor.
Hasta que los proveedores solucionen estas deficiencias, la higiene básica contra el malware sigue siendo fundamental. Las mejores maneras de evitar que el malware utilice sus claves de acceso son:
- Manténgase al tanto de las actualizaciones: asegúrese de que sus sistemas y software estén actualizados lo antes posible.
- Utilice protección antimalware actualizada en tiempo real.
- Considere sospechosos los archivos adjuntos o enlaces inesperados hasta que se demuestre su inocencia.
Desde denunciar las amenazas hasta eliminarlas.
Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos descargando Malwarebytes hoy mismo.
