Πώς τα Passkeys έχασαν το αήττητό τους στα Windows
Τα passkeys υποτίθεται ότι θα έβαζαν τέλος στους κωδικούς πρόσβασης, αλλά η έρευνα της Unit 42 της Palo Alto Networks αποδεικνύει ότι η ασφάλειά τους καταρρέει όταν το ίδιο το endpoint έχει ήδη παραβιαστεί.
Εμείς στο TechNoid εξετάζουμε πώς η αρχιτεκτονική συγχρονισμού του Google Password Manager στα Windows αφήνει κερκόπορτες για υποκλοπή ταυτότητας.
- Η ερευνητική ομάδα Unit 42 αποκάλυψε τρεις επιθέσεις υπό την ονομασία “Pass-ta-key” που πλήττουν τα passkeys του Google Password Manager στα Windows.
- Οι τεχνικές αυτές δεν σπάνε την κρυπτογραφία, αλλά εκμεταλλεύονται αδυναμίες στο cloud authentication, στο device onboarding και στη μνήμη του Chrome.
- Ακόμη και αν έχεις ενεργοποιημένα βιομετρικά, ένα ήδη μολυσμένο σύστημα μπορεί να εξαγάγει τα κλειδιά σου ή να μιμηθεί τη συσκευή σου.
Ο μηχανισμός πίσω από τις επιθέσεις Pass-ta-key
Οι παραδοσιακοί κωδικοί υπέφεραν από το phishing, αλλά τα passkeys βασίζονται σε κρυπτογραφικά ζευγάρια κλειδιών που αποθηκεύονται τοπικά. Ωστόσο, όταν μιλάμε για συγχρονιζόμενα passkeys όπως αυτά του Google Password Manager, τα δεδομένα ταξιδεύουν και επαληθεύονται μέσω cloud.
Η πρώτη τεχνική επιτρέπει σε malware χωρίς δικαιώματα διαχειριστή να εκμεταλλευτεί το TPM-backed device identity key του Chrome. Το κακόβουλο λογισμικό υποδύεται την έμπιστη συσκευή και ζητά από τον cloud authenticator της Google ένα έγκυρο authentication response, γνωστό ως assertion.
Το πρόβλημα εδώ είναι ότι ο authenticator δεν απαιτεί πάντα ούτε φυσική παρουσία ούτε τοπικό ξεκλείδωμα, αρκεί να πειστεί ότι η αίτησή σου έρχεται από το σωστό λειτουργικό σύστημα. Έτσι, το malware αποκτά πρόσβαση σε λογαριασμούς χωρίς ο χρήστης να αντιληφθεί το παραμικρό.
Σενάρια χρήσης και κενά ασφαλείας στις πλατφόρμες
Δεν αντιδρούν όλες οι διαδικτυακές υπηρεσίες με τον ίδιο τρόπο σε μια τέτοια προσπάθεια πλαστογράφησης. Κατά τις δοκιμές των ερευνητών, το GitHub απέκρουσε επιτυχώς την επίθεση Pass-ta-key επειδή ελέγχει αυστηρά το flag επιβεβαίωσης χρήστη (User Verified).
Αντίθετα, πλατφόρμες όπως το eBay απέτυχαν αρχικά να επικυρώσουν σωστά αν έγινε όντως βιομετρικός έλεγχος ή χρήση PIN, επιτρέποντας στο malware να ολοκληρώσει την είσοδο. Ανεξάρτητα από την πλατφόρμα, η παραλλαγή “Silver Pass-ta-key” πηγαίνει ένα βήμα παραπέρα αναγκάζοντας το Chrome να κάνει επανεγγραφή της συσκευής.
Εκεί, ο επιθετικός καταχωρεί το δικό του user-verification key στο cloud της Google. Μόλις ολοκληρωθεί αυτή η διαδικασία, ο εισβολέας μπορεί να μπαίνει στους λογαριασμούς σου από απομακρυσμένο σύστημα χωρίς να χρειάζεται πλέον πρόσβαση στον υπολογιστή σου.
Το κρίσιμο κενό στη μνήμη του Chrome
Η πιο επικίνδυνη πτυχή της έρευνας είναι η επίθεση “Golden Pass-ta-key”, η οποία αποκαλύπτει πώς διαχειρίζεται το master key αποκρυπτογράφησης. Το security domain secret (SDS) αποστέλλεται προσωρινά στον browser κάθε φορά που μια συσκευή συγχρονίζεται ή ανακτά πρόσβαση στον λογαριασμό.
Αρχικά, το εν λόγω μυστικό εκτίθετο σε plaintext ακόμη και στα εσωτερικά αρχεία καταγραφής (FIDO logs) του Chrome. Παρόλο που η Google αφαίρεσε το SDS από τα logs μετά την ειδοποίηση των ερευνητών, η τιμή εξακολουθεί να παραμένει προσωρινά προσβάσιμη στη μνήμη διεργασιών του browser κατά τη διάρκεια του registration.
Αν το malware γνωρίζει ακριβώς τι να αναζητήσει, μπορεί να εξαγάγει το master key απευθείας από τη RAM. Με αυτό το κλειδί στα χέρια του, ο εισβολέας αποκρυπτογραφεί ολόκληρη τη βάση των συγχρονισμένων passkeys και τα παίρνει μαζί του για πάντα.
Η άποψή μας στο TechNoid
Τα passkeys δεν είναι “σπασμένα” μαθηματικά, αλλά η βιομηχανία έχει εμμονή να πουλάει μια ψευδαίσθηση απόλυτης ασφάλειας στον μέσο χρήστη. Όταν το endpoint έχει παραβιαστεί σε επίπεδο λειτουργικού συστήματος, καμία κρυπτογραφία δεν μπορεί να σώσει τα δεδομένα σου αν ο ίδιος ο browser εκθέτει τα master keys στη RAM του.
Εμείς πιστεύουμε ότι η Google και οι υπόλοιποι πάροχοι browsers πρέπει να σταματήσουν να φορτώνουν ευαίσθητα μυστικά αποκρυπτογράφησης στη μνήμη συστημάτων που βασίζονται σε λογισμικό κατασκοπείας. Αν διατηρείς κρίσιμους λογαριασμούς, η αποθήκευση passkeys σε αποκλειστικά hardware tokens (όπως YubiKey) παραμένει μονόδρομος μπροστά στην ευθραυστότητα των cloud password managers.
Συχνές Ερωτήσεις για τις ευπάθειες Pass-ta-key στα Passkeys
Τι είναι ακριβώς οι επιθέσεις Pass-ta-key;
Είναι τρεις νέες μέθοδοι που ανακάλυψε η Unit 42 και επιτρέπουν σε malware στα Windows να εκμεταλλευτεί τον συγχρονισμό passkeys του Google Password Manager.
Χρειάζεται να σπάσει η κρυπτογραφία των passkeys για να πετύχει η επίθεση;
Όχι, οι επιθέσεις δεν αγγίζουν τα μαθηματικά των κλειδιών, αλλά εκμεταλλεύονται κενά στο cloud authentication και στη διαχείριση της μνήμης του Chrome.
Τι είναι το security domain secret (SDS);
Είναι το κεντρικό master key που αποκρυπτογραφεί όλα τα συγχρονισμένα passkeys ενός λογαριασμού Google.
Μπορεί το malware να υποκλέψει το master key από τη μνήμη;
Ναι, σύμφωνα με τους ερευνητές, το SDS παραμένει προσωρινά προσβάσιμο στη μνήμη διεργασιών του Chrome κατά τη διάρκεια διαδικασιών επανεγγραφής συσκευής.
Επηρεάζονται όλες οι ιστοσελίδες το ίδιο από αυτές τις επιθέσεις;
Όχι, πλατφόρμες που επικυρώνουν αυστηρά το User Verified flag, όπως το GitHub, μπλοκάρουν κάποιες από τις επιθέσεις σε αντίθεση με άλλες υπηρεσίες.
Επιδιόρθωσε η Google τα κενά ασφαλείας;
Η Google αφαίρεσε το master key από τα FIDO logs, αλλά το κενό παραμένει ανοιχτό στη μνήμη του browser κατά το device registration.
Πώς μπορώ να προστατευτώ από τέτοιες επιθέσεις στα Windows;
Η καλύτερη θωράκιση είναι η χρήση υλικών κλειδιών (hardware keys) που δεν συγχρονίζονται αυτόματα στο cloud και η αυστηρή προστασία του endpoint από malware.
Διάβασε επίσης την ανάλυση δικτύου ασφαλείας μας για τα κενά που αφήνουν ακάλυπτες τις επιχειρήσεις.
