Malware kann Google-Passkeys durch Pass-ta-key-Angriffe stehlen

Pass-ta-key-Angriffe können es Malware ermöglichen, den Google Passwortmanager zu missbrauchen und über Chrome unter Windows gespeicherte Passkeys zu kapern. Die Angriffe knacken nicht die Passkey-Verschlüsselung, sondern nutzen Schwachstellen bei der Geräteregistrierung, -wiederherstellung, -synchronisierung und Vertrauensüberprüfung aus.

Die Unit 42 von Palo Alto Networks hat drei Angriffe entdeckt, die sich auf Passkeys auswirken, die über den Google Passwortmanager synchronisiert werden. Die Forscher nannten die Techniken kollektiv Pass-ta-key.

Alle drei Angriffe setzen voraus, dass bereits Malware auf dem Windows-Computer des Opfers läuft. Einige Techniken funktionieren jedoch ohne Administratorberechtigungen oder weitere Benutzerinteraktion.

Malware kann sich als vertrauenswürdiges Windows-Gerät ausgeben

Die erste Pass-ta-key-Technik ermöglicht es Malware, sich als ein Windows-Gerät auszugeben, das Google bereits als vertrauenswürdig einstuft.

Die Malware missbraucht den durch das TPM gestützten Geräteidentitätsschlüssel von Chrome, um eine gültige Authentifizierungsantwort vom Cloud-Authentifikator von Google anzufordern. Der Vorgang kann ohne biometrische Daten, eine PIN, Benutzerzustimmung oder sogar ohne Entsperren des Computers erfolgen.

Google kann dann eine signierte Passkey-Assertion zurückgeben, mit der der Angreifer auf das anvisierte Konto zugreifen kann.

Passkey-Assertionen enthalten ein Benutzerverifizierungs-Flag, das angibt, ob der Benutzer die Anmeldung durch eine PIN- oder biometrische Prüfung genehmigt hat. Websites können diesen Angriff blockieren, wenn sie eine Benutzerverifizierung verlangen und dieses Flag korrekt validieren.

Silver Pass-ta-key fügt einen vom Angreifer kontrollierten Schlüssel hinzu

Die zweite Technik, Silver Pass-ta-key genannt, ermöglicht es Angreifern, ihren eigenen Verifizierungsschlüssel beim Cloud-Authentifikator von Google zu registrieren.

Zunächst entfernt oder invalidiert die Malware den bestehenden Passkey-Zustand von Chrome, sodass der Browser seinen Geräteregistrierungsprozess wiederholen muss. Während der Registrierung übermittelt der Angreifer einen von ihm kontrollierten Verifizierungsschlüssel.

Laut Unit 42 hat das System von Google nicht überprüft, ob der Ersatzschlüssel von vertrauenswürdiger Hardware stammte.

Sobald Google den bösartigen Schlüssel akzeptiert, können Angreifer ihn als Nachweis verwenden, dass das Opfer eine Authentifizierungsanfrage genehmigt hat. Diese Technik kann Dienste umgehen, die korrekt eine PIN- oder biometrische Verifizierung verlangen.

Der Angreifer kann sich auch später von einem anderen Gerät aus authentifizieren. Er benötigt keinen fortgesetzten Zugriff auf den ursprünglich kompromittierten Computer mehr.

Golden Pass-ta-key legt das Passkey-Hauptgeheimnis offen

Die schwerwiegendste Technik, Golden Pass-ta-key, zielt auf das Sicherheitsdomänengeheimnis ab, das zur Verschlüsselung aller über den Google Passwortmanager synchronisierten Passkeys verwendet wird.

Google stellt dieses Hauptgeheimnis Chrome temporär während der Geräteregistrierung oder Kontowiederherstellung bereit. Unit 42 fand das Geheimnis zunächst im Klartext in den FIDO-Protokollen von Chrome gespeichert.

Google entfernte den Wert aus diesen Protokollen, nachdem die Forscher das Problem gemeldet hatten.

Unit 42 gibt jedoch an, dass das Geheimnis weiterhin vorübergehend im Prozessspeicher von Chrome erscheint. Malware kann eine erneute Geräteregistrierung auslösen und den Speicher des Browsers nach dem Verschlüsselungsschlüssel durchsuchen.

Nach dem Extrahieren des Geheimnisses können Angreifer synchronisierte Passkey-Datensätze entschlüsseln und auf deren private Schlüssel zugreifen. Anschließend können sie diese Schlüssel auf ein anderes Gerät übertragen und sich als das Opfer ausgeben.

Das gestohlene Geheimnis kann auch später zum Konto hinzugefügte Passkeys entschlüsseln. Die Forscher berichteten, dass die Implementierung von Google derzeit keine Möglichkeit bietet, das Sicherheitsdomänengeheimnis zu rotieren oder zu widerrufen.

Das bedeutet, dass Angreifer nach dem Diebstahl des Schlüssels sowohl auf bestehende als auch auf zukünftige synchronisierte Passkeys Zugriff behalten könnten.

Passkeys hängen weiterhin von der Gerätesicherheit ab

Unit 42 meldete die Schwachstellen im Google Passwortmanager vor der Veröffentlichung seiner Forschung privat an Google. Google hatte nicht öffentlich bestätigt, ob es jede beschriebene Technik vollständig behoben hat.

Die Forschung zeigt, dass Passkeys weiterhin verwundbar sein können, wenn Malware das Gerät kompromittiert, das sie verwaltet. Obwohl Microsoft die Nutzer zu Passkeys drängt, kann eine passwortlose Authentifizierung Konten nicht vollständig schützen, wenn Angreifer den Browser oder das Betriebssystem kontrollieren.

Websites sollten eine Benutzerverifizierung verlangen und das zugehörige Passkey-Flag validieren. Zugangsdaten-Manager sollten zudem bestätigen, dass neu registrierte Geräteschlüssel von vertrauenswürdiger Hardware stammen.

Entwickler sollten die Prozesse zur Gerätewiederherstellung und erneuten Registrierung verstärken und die Zeitspanne begrenzen, in der sensible Verschlüsselungsschlüssel im Browserspeicher verfügbar sind.

Nutzer sollten weiterhin Sicherheitsupdates installieren, verdächtige Downloads meiden und ihre Computer vor Malware schützen. Google hat außerdem die Kontowiederherstellung per Selfie-Video mit Deepfake-Schutzmaßnahmen als Teil seiner umfassenderen Bemühungen um die Kontosicherheit eingeführt.

Die Gerätesicherheit bleibt besonders wichtig, wenn öffentliche Netzwerke genutzt werden. Microsoft deckte kürzlich eine globale Malware-Kampagne über Hotel-WLAN auf, die Reisende über kompromittierte Captive Portals ins Visier nahm.

Via BleepingComputer