Malware kann Google-Passkeys mithilfe von Pass-ta-key-Angriffen stehlen

Pass-ta-key-Angriffe können es Malware ermöglichen, Google Password Manager zu missbrauchen und Passkeys zu kapern, die über Chrome unter Windows gespeichert sind. Die Angriffe knacken nicht die Passkey-Verschlüsselung, sondern nutzen Schwachstellen bei Geräteregistrierung, Wiederherstellung, Synchronisierung und Vertrauensprüfungen aus.

Unit 42 von Palo Alto Networks hat drei Angriffe entdeckt, die über Google Password Manager synchronisierte Passkeys betreffen. Die Forscher tauften die Techniken zusammenfassend Pass-ta-key.

Alle drei Angriffe setzen voraus, dass bereits Malware auf dem Windows-Computer des Opfers läuft. Einige Techniken funktionieren jedoch ohne Administratorberechtigungen oder weitere Benutzerinteraktion.

Malware kann ein vertrauenswürdiges Windows-Gerät imitieren

Die erste Pass-ta-key-Technik erlaubt es Malware, ein Windows-Gerät zu imitieren, das Google bereits als vertrauenswürdig einstuft.

Die Malware missbraucht den TPM-gestützten Geräteidentitätsschlüssel von Chrome, um eine gültige Authentifizierungsantwort vom Cloud-Authentifikator von Google anzufordern. Der Vorgang kann ohne biometrische Daten, PIN, Benutzerbestätigung oder sogar ohne Entsperren des Computers ablaufen.

Google kann dann eine signierte Passkey-Behauptung zurückgeben, mit der der Angreifer auf das Zielkonto zugreifen kann.

Passkey-Behauptungen enthalten ein Benutzerverifizierungsflag, das anzeigt, ob der Benutzer die Anmeldung mittels PIN oder biometrischer Prüfung genehmigt hat. Websites können diesen Angriff blockieren, wenn sie eine Benutzerverifizierung verlangen und dieses Flag korrekt validieren.

Silver Pass-ta-key fügt einen vom Angreifer kontrollierten Schlüssel hinzu

Die zweite Technik, Silver Pass-ta-key genannt, ermöglicht es Angreifern, ihren eigenen Verifikationsschlüssel beim Cloud-Authentifikator von Google zu registrieren.

Die Malware entfernt oder entwertet zuerst den bestehenden Passkey-Status von Chrome, sodass der Browser seinen Geräteregistrierungsprozess wiederholen muss. Während der Registrierung sendet der Angreifer einen von ihm kontrollierten Verifikationsschlüssel.

Laut Unit 42 überprüfte das System von Google nicht, ob der Ersatzschlüssel von vertrauenswürdiger Hardware stammte.

Sobald Google den bösartigen Schlüssel akzeptiert, können die Angreifer ihn als Nachweis dafür verwenden, dass das Opfer eine Authentifizierungsanfrage genehmigt hat. Diese Technik kann Dienste umgehen, die korrekterweise eine PIN- oder biometrische Verifizierung verlangen.

Der Angreifer kann sich später auch von einem anderen Gerät aus authentifizieren. Er benötigt dann keinen dauerhaften Zugriff auf den ursprünglich kompromittierten Computer mehr.

Golden Pass-ta-key legt das Passkey-Master-Geheimnis offen

Die schwerwiegendste Technik, Golden Pass-ta-key, zielt auf das Sicherheitsdomänengeheimnis ab, das zur Verschlüsselung aller über den Google Password Manager synchronisierten Passkeys verwendet wird.

Google stellt dieses Master-Geheimnis Chrome vorübergehend während der Geräteregistrierung oder Kontowiederherstellung zur Verfügung. Unit 42 fand das Geheimnis zunächst im Klartext in den FIDO-Protokollen von Chrome.

Google entfernte den Wert aus diesen Protokollen, nachdem die Forscher das Problem gemeldet hatten.

Unit 42 gibt jedoch an, dass das Geheimnis weiterhin vorübergehend im Prozessspeicher von Chrome auftaucht. Malware kann eine erneute Geräteregistrierung auslösen und den Arbeitsspeicher des Browsers nach dem Verschlüsselungsschlüssel durchsuchen.

Nach dem Extrahieren des Geheimnisses können Angreifer synchronisierte Passkey-Datensätze entschlüsseln und auf deren private Schlüssel zugreifen. Sie können diese Schlüssel dann auf ein anderes Gerät übertragen und das Opfer imitieren.

Das gestohlene Geheimnis kann auch später zum Konto hinzugefügte Passkeys entschlüsseln. Forscher berichteten, dass die Implementierung von Google derzeit keine Möglichkeit bietet, das Sicherheitsdomänengeheimnis zu rotieren oder zu widerrufen.

Das bedeutet, dass Angreifer nach dem Diebstahl des Schlüssels weiterhin Zugriff auf bestehende und zukünftige synchronisierte Passkeys behalten könnten.

Passkeys hängen weiterhin von der Gerätesicherheit ab

Unit 42 hat Google die Schwachstellen des Google Password Manager vor der Veröffentlichung der Forschung privat gemeldet. Google hatte nicht öffentlich bestätigt, ob es jede beschriebene Technik vollständig behoben hat.

Die Forschung zeigt, dass Passkeys weiterhin angreifbar werden können, wenn Malware das Gerät kompromittiert, das sie verwaltet. Obwohl Microsoft die Benutzer zu Passkeys gedrängt hat, kann passwortlose Authentifizierung Konten nicht vollständig schützen, wenn Angreifer den Browser oder das Betriebssystem kontrollieren.

Websites sollten eine Benutzerverifizierung verlangen und das zugehörige Passkey-Flag validieren. Anmeldeinformations-Manager sollten zudem bestätigen, dass neu registrierte Geräteschlüssel von vertrauenswürdiger Hardware stammen.

Entwickler sollten die Gerätewiederherstellung und die erneute Registrierung robuster gestalten und gleichzeitig die Zeit begrenzen, in der sensible Verschlüsselungsschlüssel im Browser-Speicher verbleiben.

Benutzer sollten weiterhin Sicherheitsupdates installieren, verdächtige Downloads vermeiden und ihre Computer vor Malware schützen. Google hat außerdem die Selfie-Video-Kontowiederherstellung mit Deepfake-Schutz als Teil seiner umfassenderen Kontosicherheitsbemühungen eingeführt.

Die Gerätesicherheit bleibt besonders wichtig, wenn öffentliche Netzwerke genutzt werden. Microsoft hat kürzlich eine weltweite Hotel-WLAN-Malware-Kampagne aufgedeckt, die Reisende über kompromittierte Captive Portals ins Visier nahm.

Via BleepingComputer