Le password erano state presentate come una soluzione più sicura per il futuro. Gli hacker hanno trovato il modo di violare quelle sincronizzate con Google.
PassKeys è stato presentato come il successore più sicuro delle password . Prometteva protezione da phishing, riutilizzo delle credenziali e fughe di dati. Google afferma addirittura che non può essere copiato o ceduto accidentalmente a terzi. Tuttavia, potrebbe non essere così sicuro come l'azienda vorrebbe far credere.
I ricercatori di sicurezza (tramite BleepingComputer ) hanno scoperto tre modi in cui i malware possono compromettere la sicurezza delle password sincronizzate tramite Google Password Manager. Queste tecniche, denominate collettivamente Pass-ta-key, prendono di mira Google Password Manager all'interno di Chrome sui computer Windows dotati di Trusted Platform Module (TPM). Ogni attacco richiede che il malware sia già in esecuzione sul computer della vittima.
I ricercatori non sono riusciti a violare la crittografia alla base delle password. Hanno sfruttato le vulnerabilità relative alla fiducia nel dispositivo, al recupero dell'account, alla procedura di onboarding e al modo in cui i servizi verificano che l'utente abbia effettivamente sbloccato il proprio dispositivo.
Il malware può impersonare il tuo computer di fiducia
La prima tecnica Pass-ta-key consente al malware di utilizzare l'identità del dispositivo supportata dal TPM di Chrome per richiedere una risposta valida tramite passkey all'autenticatore cloud di Google. Non richiede privilegi di amministratore, scansione biometrica, PIN, sblocco del dispositivo o interazione da parte della vittima. Il servizio di Google interpreta la richiesta come proveniente da un computer attendibile e restituisce la risposta di autenticazione necessaria per accedere.
I siti web dovrebbero verificare un flag che confermi che l'utente ha autenticato la propria identità. Unit 42 ha scoperto che GitHub ha correttamente respinto l'attacco, mentre eBay lo ha accettato nonostante richiedesse, in teoria, la verifica. eBay ha corretto questa falla dopo la segnalazione dei ricercatori.
L'attacco più avanzato Silver Pass-ta-key può costringere Chrome a registrare avChiave di verifica controllata dall'attaccante. Tale chiave viene quindi utilizzata come prova che la vittima ha inserito un PIN o utilizzato dati biometrici, consentendo l'accesso all'account da un altro computer dopo che il dispositivo originale si è disconnesso.
L'attacco peggiore ruba le chiavi stesse
La tecnica Golden Pass-ta-key prende di mira il segreto principale utilizzato per crittografare ogni password sincronizzata tramite un account Google. I ricercatori hanno inizialmente scoperto che Chrome esponeva questo segreto in chiaro attraverso i suoi log FIDO interni. Google lo ha rimosso. dai registri successivi alla divulgazione. Tuttavia, Unit 42 afferma che la chiave appare ancora temporaneamente nella memoria di processo di Chrome durante la registrazione o il ripristino del dispositivo. Il malware può estrarla e decrittografare le password sincronizzate della vittima.
Secondo alcune fonti, la chiave master rubata potrebbe esporre le password esistenti e future. Unit 42 aggiunge che l'attuale implementazione di Google non prevede alcun metodo per ruotare o revocare tale chiave segreta dopo che è stata compromessa. Le password rimangono comunque sostanzialmente più sicure contro il phishing e le fughe di dati. La documentazione di Google descrive ancora accuratamente questi vantaggi. Questa ricerca dimostra che il malware già presente nel computer può attaccare l'infrastruttura che circonda la password.
