Klucze dostępu miały sprawić, że kradzież haseł stanie się przeszłością. Żadnego hasła, które można wyłudzić, żadnego sekretu do ponownego wykorzystania i żadnego ciągu znaków zalegającego w bazie danych i czekającego na wyciek.
Uważa się, że z czasem klucze dostępu całkowicie zastąpią hasła. Ale co się stanie, gdy złośliwe oprogramowanie ukradnie klucz główny?
Naukowcy odkryli sposób, w jaki złośliwe oprogramowanie może przejąć kontrolę nad kontami chronionymi kluczami dostępu za pośrednictwem Menedżera haseł Google, zwracając uwagę na ważny wyjątek: klucze dostępu mogą być bardzo bezpieczne, ale oprogramowanie obsługujące je nadal ma pewne słabości.
Czym są klucze dostępu?
Klucze dostępu to zamienniki haseł oparte na kryptografii klucza publicznego. Zamiast sekretu, który trzeba zapamiętać i wpisać, każde konto otrzymuje parę kluczy, z których klucz prywatny nigdy nie opuszcza urządzenia, a strona internetowa widzi tylko klucz publiczny i podpisane hasła. Ponieważ nie ma niczego, co można by ponownie wykorzystać w celu wyłudzenia informacji lub wykorzystać ponownie na innej stronie, klucze dostępu są reklamowane jako „odporne na phishing” i bezpieczniejsze niż hasła przechowywane w przeglądarce lub menedżerze haseł.
Według doniesień Google pod koniec 2024 r. 800 milionów kont Google korzystało z kluczy dostępu.
Klucze dostępu mają ogromną przewagę nad hasłami: nie ma niczego, co strona phishingowa mogłaby ukraść. Klucz dostępu jest również powiązany ze stroną internetową, dla której został stworzony, co znacznie utrudnia podstępne uwierzytelnienie w niewłaściwej domenie.
Inną istotną różnicą jest to, że jeśli złośliwe oprogramowanie ukradnie hasło do sejfu, atakujący często musi pokonać drugi czynnik uwierzytelniania na innym urządzeniu, takim jak aplikacja uwierzytelniająca w telefonie, aby uzyskać pełne prawa do konta. W przypadku kluczy dostępu wiele usług, które się na nich opierają, po prostu ufa ich potwierdzeniu, a w niektórych przypadkach nawet pojedynczej fladze „użytkownik zweryfikowany”, bez konieczności potwierdzania, czy wystąpiło rzeczywiste zdarzenie biometryczne lub PIN.
W grę wchodzi złośliwe oprogramowanie
Naukowcy zaczęli jednak od zainfekowanego złośliwego oprogramowania Windows komputer i opracował trzy możliwe scenariusze ataku, aby wykraść zsynchronizowane klucze dostępu Google. Menedżer haseł Google może synchronizować klucze dostępu między urządzeniami, co jest wygodne, ponieważ nie trzeba rejestrować nowego klucza dostępu za każdym razem, gdy kupuje się nowy komputer. Otwiera to jednak również drogę do nadużyć.
Od najgorszych do najgorszych ataki wyglądają następująco:
- Pass-ta-key : złośliwe oprogramowanie na komputerze ofiary pyta w milczeniu Chrome i chmura Google do utworzenia prawidłowego klucza dostępu, bez konieczności podawania danych biometrycznych lub podawania kodu PIN.
- Silver Pass-ta-key : złośliwe oprogramowanie wykorzystuje ponowną rejestrację urządzenia do zarejestrowania własnego klucza weryfikacji użytkownika, a następnie loguje się jako ofiara z komputera atakującego, nie dotykając urządzenia ofiary.
- Golden Pass-ta-key : złośliwe oprogramowanie wyodrębnia tajny klucz domeny zabezpieczeń Google (główny klucz szyfrowania), odszyfrowuje wszystkie zsynchronizowane klucze dostępu i może ich ponownie używać w dowolnym miejscu, nawet po utracie dostępu do oryginalnego urządzenia.
Jak zachować bezpieczeństwo
Badacze apelują do usługodawców, aby przestali bezkrytycznie ufać fladze weryfikacji użytkownika i przed udzieleniem dostępu prawidłowo weryfikowali, czy rzeczywiście wystąpiło zdarzenie weryfikacji użytkownika. Google z kolei jest zachęcane do wzmocnienia zabezpieczeń rejestracji i odzyskiwania urządzeń oraz do weryfikacji, czy nowe urządzenia i klucze są wspierane przez oryginalny sprzęt, zamiast akceptować je bezkrytycznie.
Dla użytkowników końcowych klucze dostępu nadal oferują silną ochronę przed klasycznymi witrynami phishingowymi i atakami typu credential stuffing opartymi na powtórzonych hasłach. Słabą stroną, na którą zwrócono uwagę, nie jest sama koncepcja kluczy dostępu, ale sposób ich implementacji, synchronizacji i zaufania bez wystarczającej weryfikacji po stronie serwera.
Dopóki dostawcy nie usuną tych luk, podstawowa higiena antywirusowa pozostaje kluczowa. Najlepsze sposoby zapobiegania wykorzystywaniu haseł przez złośliwe oprogramowanie to:
- Bądź na bieżąco z aktualizacjami: zadbaj o to, aby Twoje systemy i oprogramowanie zostały zaktualizowane tak szybko, jak to możliwe.
- Korzystaj z aktualnej ochrony antywirusowej w czasie rzeczywistym.
- Nieoczekiwane załączniki lub linki traktuj jako podejrzane, dopóki nie udowodnisz, że są nieszkodliwe.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
