As chaves de acesso deveriam tornar o roubo de palavras-passe uma coisa do passado. Sem passwords para serem obtidas por phishing, sem segredos para serem reutilizados e sem sequências de caracteres armazenadas numa base de dados à espera de fugas.
Acredita-se que, com o tempo, as chaves mestras substituirão completamente as palavras-passe. Mas o que acontece quando um malware rouba a chave mestra?
Os investigadores descobriram uma forma de um malware sequestrar contas protegidas por palavra-passe através do Google Password Manager, destacando uma importante exceção: as palavras-passe podem ser muito seguras, mas o software que as envolve ainda apresenta vulnerabilidades.
O que são chaves de acesso?
As chaves de acesso são uma alternativa às palavras-passe tradicionais, baseadas na criptografia de chave pública. Em vez de um segredo que memoriza e digita, cada conta recebe um par de chaves em que a chave privada nunca sai dos seus dispositivos, e o site apenas vê a chave pública e os desafios assinados. Como não existe nada reutilizável para phishing ou para ser utilizado noutro site, as chaves de acesso são comercializadas como "resistentes a phishing" e mais seguras do que as palavras-passe armazenadas num browser ou gestor de palavras-passe.
Segundo informações, a Google afirmou que, até ao final de 2024, 800 milhões de contas Google utilizavam palavras-passe.
As chaves de acesso têm uma grande vantagem em relação às palavras-passe: não há nada de útil para um site de phishing roubar. Uma chave de acesso também está ligada ao site para o qual foi criada, tornando muito mais difícil enganá-la para se autenticar num domínio errado.
Outra diferença significativa é que, se um malware roubar um cofre de palavras-passe, o atacante geralmente ainda tem de ultrapassar uma segunda camada de autenticação noutro dispositivo, como uma aplicação autenticadora no seu telemóvel, antes de obter acesso total à conta. Com as chaves de acesso, muitos serviços que dependem delas confiam simplesmente na afirmação da chave de acesso e, em alguns casos, até mesmo num único indicador de "utilizador verificado" sem confirmar se houve uma verificação biométrica ou PIN real.
O malware entra em ação.
Os investigadores, no entanto, começaram com um malware infetado. Windows computador e foram identificados três possíveis cenários de ataque para roubar passwords sincronizadas do Google. O Gestor de Palavras-passe do Google pode sincronizar palavras-passe entre dispositivos, o que é conveniente, uma vez que não quer registar uma nova palavra-passe sempre que compra um computador novo. Mas isso também as torna vulneráveis a abusos.
Os ataques, do pior para o pior, são os seguintes:
- Pass-ta-key : o malware no computador da vítima solicita silenciosamente a palavra-passe. Chrome e a cloud da Google para criar um login com palavra-passe válido, sem necessidade de biometria ou pedido de PIN.
- Silver Pass‑ta‑key : um malware que abusa do recadastramento de dispositivos para registar a sua própria chave de verificação de utilizador e, em seguida, inicia sessão como vítima a partir da máquina do atacante, sem tocar no dispositivo da vítima.
- Golden Pass-ta-key : Este malware extrai o segredo do domínio de segurança da Google (a chave mestra de encriptação), desencripta todas as chaves de acesso sincronizadas e pode reutilizá-las em qualquer lugar, mesmo após perder o acesso ao dispositivo original.
Como se manter seguro
Os investigadores recomendam que os serviços deixem de confiar cegamente no indicador de verificação do utilizador e validem adequadamente se um evento de "Utilizador Verificado" ocorreu realmente antes de conceder o acesso. A Google, por sua vez, é encorajada a reforçar a segurança do registo e da recuperação de dispositivos e a verificar se os novos dispositivos e chaves são realmente compatíveis com hardware genuíno, em vez de os aceitar sem questionamento.
Para os utilizadores finais, as chaves de acesso oferecem ainda uma forte proteção contra sites de phishing clássicos e ataques de preenchimento de credenciais baseados na reutilização de palavras-passe. O ponto fraco aqui destacado não é tanto o conceito de chaves de acesso em si, mas a forma como são implementadas, sincronizadas e consideradas fiáveis sem verificação suficiente no servidor.
Enquanto os fornecedores não corrigirem estas falhas, a higiene básica contra o malware continua a ser fundamental. As melhores formas de impedir que o malware utilize as suas chaves de acesso são:
- Mantenha-se atualizado: certifique-se de que os seus sistemas e software estão atualizados o mais rapidamente possível.
- Utilize proteção antimalware atualizada em tempo real.
- Considere anexos ou links inesperados como suspeitos até prova em contrário.
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.
