Un malware peut voler les clés d’accès Google à l’aide d’attaques Pass-ta-key

Les attaques Pass-ta-key peuvent permettre à des logiciels malveillants d’abuser de Google Password Manager et de détourner les clés d’accès stockées via Chrome sous Windows. Ces attaques ne cassent pas le chiffrement des clés d’accès, mais exploitent des faiblesses dans l’enregistrement des appareils, la récupération, la synchronisation et les vérifications de confiance.

L’équipe Unit 42 de Palo Alto Networks a découvert trois attaques affectant les clés d’accès synchronisées via Google Password Manager. Les chercheurs ont collectivement nommé ces techniques Pass-ta-key.

Ces trois attaques exigent qu’un logiciel malveillant soit déjà en cours d’exécution sur l’ordinateur Windows de la victime. Certaines techniques fonctionnent toutefois sans privilèges d’administrateur ni interaction supplémentaire de l’utilisateur.

Un logiciel malveillant peut usurper un appareil Windows de confiance

La première technique Pass-ta-key permet à un logiciel malveillant d’usurper l’identité d’un appareil Windows que Google considère déjà comme fiable.

Le logiciel malveillant abuse la clé d’identité de l’appareil sauvegardée par le TPM dans Chrome pour demander une réponse d’authentification valide à l’authentificateur cloud de Google. Le processus peut se dérouler sans biométrie, code PIN, approbation de l’utilisateur ni même déverrouillage de l’ordinateur.

Google peut alors renvoyer une assertion de clé d’accès signée que l’attaquant peut utiliser pour accéder au compte ciblé.

Les assertions de clé d’accès contiennent un indicateur de vérification utilisateur qui signale si l’utilisateur a approuvé la connexion par un code PIN ou un contrôle biométrique. Les sites web peuvent bloquer cette attaque lorsqu’ils exigent la vérification de l’utilisateur et valident correctement cet indicateur.

Silver Pass-ta-key ajoute une clé contrôlée par l’attaquant

La deuxième technique, nommée Silver Pass-ta-key, permet aux attaquants d’enregistrer leur propre clé de vérification auprès de l’authentificateur cloud de Google.

Le logiciel malveillant supprime ou invalide d’abord l’état existant des clés d’accès dans Chrome, forçant le navigateur à répéter son processus d’enregistrement de l’appareil. Pendant l’enregistrement, l’attaquant soumet une clé de vérification qu’il contrôle.

Selon Unit 42, le système de Google n’a pas vérifié si la clé de remplacement provenait d’un matériel de confiance.

Une fois que Google accepte la clé malveillante, les attaquants peuvent l’utiliser comme preuve que la victime a approuvé une demande d’authentification. Cette technique peut contourner les services qui exigent correctement une vérification par code PIN ou biométrique.

L’attaquant peut aussi s’authentifier ultérieurement depuis un autre appareil. Il n’a plus besoin d’un accès continu à l’ordinateur compromis initial.

Golden Pass-ta-key expose le secret maître des clés d’accès

La technique la plus grave, Golden Pass-ta-key, cible le secret du domaine de sécurité utilisé pour chiffrer toutes les clés d’accès synchronisées via Google Password Manager.

Google fournit temporairement ce secret maître à Chrome lors de l’enregistrement de l’appareil ou de la récupération du compte. Unit 42 a initialement constaté que le secret était stocké en clair dans les journaux FIDO de Chrome.

Google a retiré la valeur de ces journaux après que les chercheurs ont divulgué le problème.

Cependant, Unit 42 indique que le secret apparaît toujours temporairement dans la mémoire du processus de Chrome. Un logiciel malveillant peut déclencher un réenregistrement de l’appareil et chercher la clé de chiffrement dans la mémoire du navigateur.

Après avoir extrait le secret, les attaquants peuvent déchiffrer les enregistrements de clés d’accès synchronisées et accéder à leurs clés privées. Ils peuvent ensuite transférer ces clés sur un autre appareil et usurper l’identité de la victime.

Le secret volé pourrait également déchiffrer les clés d’accès ajoutées ultérieurement au compte. Les chercheurs signalent que l’implémentation de Google n’offre actuellement aucun moyen de faire pivoter ou de révoquer le secret du domaine de sécurité.

Cela signifie que les attaquants pourraient conserver l’accès à la fois aux clés d’accès synchronisées existantes et futures après avoir dérobé la clé.

Les clés d’accès dépendent encore de la sécurité de l’appareil

Unit 42 a signalé en privé les faiblesses de Google Password Manager à Google avant de publier ses recherches. Google n’a pas confirmé publiquement s’il avait entièrement résolu chaque technique décrite.

Ces recherches montrent que les clés d’accès peuvent devenir vulnérables lorsqu’un logiciel malveillant compromet l’appareil qui les gère. Même si Microsoft encourage les utilisateurs à adopter les clés d’accès, l’authentification sans mot de passe ne peut pas protéger entièrement les comptes lorsque les attaquants contrôlent le navigateur ou le système d’exploitation.

Les sites web devraient exiger la vérification de l’utilisateur et valider l’indicateur de clé d’accès associé. Les gestionnaires d’identifiants devraient également confirmer que les clés d’appareil nouvellement enregistrées proviennent d’un matériel de confiance.

Les développeurs devraient renforcer les processus de récupération et de réenregistrement des appareils tout en limitant la durée pendant laquelle les clés de chiffrement sensibles restent disponibles dans la mémoire du navigateur.

Les utilisateurs devraient continuer à installer les mises à jour de sécurité, éviter les téléchargements suspects et protéger leurs ordinateurs contre les logiciels malveillants. Google a également introduit la récupération de compte par Selfie Video avec des protections contre les deepfakes, dans le cadre de ses efforts plus larges de sécurisation des comptes.

La sécurité de l’appareil reste particulièrement importante lorsqu’on utilise des réseaux publics. Microsoft a récemment découvert une campagne mondiale de logiciels malveillants ciblant les voyageurs via des portails captifs compromis dans les hôtels.

Via BleepingComputer