Passkeys avrebbe dovuto rendere i furti di password un ricordo del passato. Niente più password da estorcere con il phishing, niente più segreti da riutilizzare e niente più sequenze di caratteri memorizzate in un database in attesa di essere divulgate.
Si prevede che col tempo le chiavi di accesso sostituiranno completamente le password. Ma cosa succede se un malware ruba la chiave principale?
I ricercatori hanno scoperto un modo per consentire ai malware di dirottare gli account protetti da password tramite Google Password Manager, evidenziando un'importante eccezione: le password possono essere molto sicure, ma il software che le gestisce presenta comunque delle vulnerabilità.
Cosa sono i passepartout?
Passkeys è un sistema di sostituzione delle password basato sulla crittografia a chiave pubblica. Invece di un segreto da ricordare e digitare, ogni account riceve una coppia di chiavi: la chiave privata non lascia mai i dispositivi dell'utente, mentre il sito web visualizza solo la chiave pubblica e le relative verifiche firmate. Poiché non vi è nulla che possa essere riutilizzato tramite phishing o su altri siti, Passkeys viene pubblicizzato come "resistente al phishing" e più sicuro delle password memorizzate in un browser o in un gestore di password.
Secondo quanto riportato, entro la fine del 2024 Google avrebbe dichiarato che 800 milioni di account Google utilizzavano password.
Le passkey hanno un grande vantaggio rispetto alle password: non contengono informazioni utili che un sito di phishing possa rubare. Inoltre, una passkey è associata al sito web per cui è stata creata, il che rende molto più difficile indurre l'utente ad autenticarsi su un dominio errato.
L'altra differenza significativa è che, se un malware ruba un archivio di password, un aggressore spesso ha comunque bisogno di superare un secondo fattore di autenticazione su un altro dispositivo, come un'app di autenticazione sul telefono, prima di poter ottenere il pieno controllo dell'account. Con le passkey, molti servizi che si basano su di esse si fidano semplicemente dell'asserzione della passkey e, in alcuni casi, persino di un singolo flag "utente verificato" senza confermare se si sia effettivamente verificato un evento biometrico o un PIN.
Entra in gioco il malware
I ricercatori, tuttavia, hanno iniziato con un malware infetto Windows Ho analizzato il computer e ho individuato tre possibili scenari di attacco per rubare le password sincronizzate con Google. Google Password Manager consente di sincronizzare le password tra dispositivi, il che è comodo perché non si vuole registrare una nuova password ogni volta che si acquista un nuovo computer. Tuttavia, questo le rende anche vulnerabili agli abusi.
Gli attacchi, dal peggiore al peggiore, sono:
- Pass‑ta‑key : il malware sul computer della vittima chiede silenziosamente Chrome e il cloud di Google per creare un login con password valido, senza bisogno di dati biometrici o PIN.
- Silver Pass‑ta‑key : il malware sfrutta la procedura di re-registrazione del dispositivo per creare la propria chiave di verifica utente, quindi accede al sistema come la vittima dal computer dell'attaccante senza interagire con il dispositivo della vittima.
- Golden Pass‑ta‑key : Il malware estrae il segreto di sicurezza del dominio di Google (la chiave di crittografia principale), decifra tutte le chiavi di accesso sincronizzate e può riutilizzarle ovunque, anche dopo aver perso l'accesso al dispositivo originale.
Come stare al sicuro
I ricercatori esortano i servizi a smettere di fidarsi ciecamente del flag di verifica dell'utente e a convalidare correttamente che si sia verificato un evento di verifica dell'utente reale prima di concedere l'accesso. Google, a sua volta, è incoraggiata a rafforzare la registrazione e il ripristino dei dispositivi e a verificare che i nuovi dispositivi e le chiavi siano supportati da hardware autentico, anziché accettarli passivamente.
Per gli utenti finali, le chiavi di accesso offrono ancora una solida protezione contro i classici siti web di phishing e gli attacchi di credential stuffing basati sul riutilizzo delle password. Il punto debole evidenziato non è tanto il concetto di chiavi di accesso in sé, quanto il modo in cui vengono implementate, sincronizzate e considerate affidabili, in assenza di sufficienti verifiche lato server.
Finché i fornitori non colmeranno queste lacune, una corretta igiene antimalware di base rimane fondamentale. I modi migliori per impedire al malware di utilizzare le tue password sono:
- Rimanete sempre aggiornati: assicuratevi che i vostri sistemi e software siano aggiornati il prima possibile.
- Utilizza una protezione antimalware aggiornata in tempo reale.
- Considerate allegati o link inaspettati come sospetti finché non ne venga dimostrata la non innocenza.
Dalla segnalazione delle minacce alla loro rimozione.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.
