Klucze dostępu Google miały zastąpić hasła. Według badaczy, zwykłe złośliwe oprogramowanie może je jednak ukraść z systemu Windows

Klucze dostępu, po angielsku passkeys, miały wysłać hasła na emeryturę – nie da się ich ujawnić, odgadnąć ani wyłudzić za pomocą phishingu. Badacze z Palo Alto Networks pokazali jednak, że nawet one mają swoje ograniczenia w przypadku komputera, na którym już działa złośliwe oprogramowanie. W systemie Windows złośliwy kod może samodzielnie wykorzystać klucze dostępu Google, nie pytając Cię o nic.

Logowanie bez hasła powoli staje się nowym standardem – Google, Apple i banki naciskają na użytkowników, aby korzystali z kluczy dostępu właśnie dlatego, że eliminują one całą klasę ataków. Była to reakcja na lata, kiedy zmagaliśmy się z dziurawymi i łatwymi do odgadnięcia hasłami. Nowe badania przypominają jednak, że żadna ochrona nie jest absolutna: jeśli na komputerze pojawi się złośliwe oprogramowanie, może ono ominąć klucze dostępu przechowywane w menedżerze haseł Google tak samo łatwo, jak zapisane hasła.

Eksperci opisali trzy typy ataków

Według opublikowanego raportu, badania koncentrują się konkretnie na kluczach dostępu Google synchronizowanych za pośrednictwem menedżera haseł w przeglądarce Chrome, na komputerach z systemem Windows i układem bezpieczeństwa TPM. Kluczowy warunek jest jasny: na maszynie musi już działać złośliwe oprogramowanie. Wtedy do swoich sztuczek nie potrzebuje ani uprawnień administratora, ani jednego kliknięcia użytkownika. Autorzy nadali trzem atakom zbiorczą nazwę Pass-ta-key.

Pierwsza i najprostsza wariant polega na tym, że złośliwe oprogramowanie naśladuje zachowanie Chrome i udaje zaufane urządzenie ofiary. Wysyła podpis z układu bezpieczeństwa do usługi weryfikacyjnej Google, a ta zwraca mu ważne logowanie, tak jakby właściciel faktycznie siedział przy komputerze. Istnieje obrona – usługa docelowa może zapytać, czy użytkownik faktycznie przeszedł weryfikację. GitHub odparł w ten sposób atak, ale eBay nie monitorował tego jednego bitu kontrolnego, a logowanie przeszło nawet bez odcisku palca lub kodu PIN. Błąd został już w międzyczasie naprawiony.

Druga wariant idzie dalej. Złośliwe oprogramowanie zmusza Chrome do ponownej rejestracji w Google, a przy okazji podsuwa mu własny klucz weryfikacyjny, który atakujący sam wygenerował. Google go akceptuje, ponieważ nie sprawdza, czy klucz pochodzi z prawdziwego sprzętu – i od tej chwili traktuje każdy podpis atakującego jako dowód, że właściciel odblokował urządzenie odciskiem palca. W ten sposób, według badaczy, można ominąć nawet konta z rygorystyczną weryfikacją, w tym bankowe. Co więcej, wystarczy zaatakować raz: potem atakujący loguje się ze swojego własnego komputera, bez konieczności bycia online przez ofiarę.

Najgorzej wypada trzeci atak. Umożliwia on kradzież klucza głównego, którym Google szyfruje wszystkie zsynchronizowane klucze dostępu. Kto go zdobędzie, odszyfruje wszystkie klucze ofiary naraz – nawet te, które dopiero powstaną w przyszłości. Badacze znaleźli go w czytelnej formie bezpośrednio w wewnętrznych logach Chrome. Google naprawił logowanie, ale klucz, według zespołu, nadal jest wysyłany do przeglądarki i można go wyciągnąć z jej pamięci. Nieprzyjemne jest to, że tego klucza głównego nie da się na razie w żaden sposób unieważnić ani wymienić – raz wyciekły, pozostaje ważny na zawsze.

Ryzyko nie jest zbyt wysokie

Zanim jednak zaczniesz usuwać wszystkie klucze dostępu, jedna zasadnicza uwaga: wszystkie trzy ataki zakładają, że najpierw na komputerze pojawi się złośliwe oprogramowanie. Badania dotyczą ponadto tylko kombinacji Windows, Chrome i menedżera haseł Google, a nie na przykład kluczy sprzętowych typu YubiKey. Sami autorzy podkreślają, że klucze dostępu pozostają znacznie bezpieczniejsze niż klasyczne hasła, a atak na nie jest nadal trudniejszy.

Problem polega na tym, jak łatwo złośliwe oprogramowanie dostaje się dziś do komputera. Szkodliwy kod może zostać rozesłany nawet przez zautomatyzowaną kampanię phishingową skierowaną do szerokiej publiczności, więc „zaatakowany komputer” bynajmniej nie jest problemem tylko nieostrożnych. A gdy kod się już zainstaluje, opisane sztuczki przebiegają niezauważenie w tle.

Palo Alto Networks zgłosiło wszystko Google’owi i dotkniętym usługom jeszcze przed publikacją. Google usunął wyciek klucza z logów, eBay naprawił kontrolę weryfikacji, a badacze wzywają do tego, aby strony internetowe konsekwentnie weryfikowały, czy użytkownik faktycznie się zalogował. Dla zwykłego człowieka wynika z tego stara, ale tym bardziej aktualna rada: najlepszą ochroną kluczy dostępu jest niedopuszczenie złośliwego oprogramowania do komputera – czyli nieinstalowanie oprogramowania z nieznanych źródeł i nieuleganie phishingowi.

Czy używasz już kluczy dostępu do logowania, czy nadal polegasz na hasłach?

Źródła: Unit 42, BleepingComputer, Cybernews