Malware può rubare Google Passkeys usando attacchi Pass-ta-key

Gli attacchi Pass-ta-key possono consentire al malware di abusare di Google Password Manager e di dirottare le passkey archiviate tramite Chrome su Windows. Gli attacchi non violano la crittografia delle passkey, ma sfruttano debolezze nella registrazione del dispositivo, nel recupero, nella sincronizzazione e nei controlli di attendibilità.

Unit 42 di Palo Alto Networks ha scoperto tre attacchi che interessano le passkey sincronizzate tramite Google Password Manager. I ricercatori hanno denominato collettivamente queste tecniche Pass-ta-key.

Tutti e tre gli attacchi richiedono che il malware sia già in esecuzione sul computer Windows della vittima. Tuttavia, alcune tecniche funzionano senza privilegi di amministratore o ulteriore interazione dell’utente.

Il malware può impersonare un dispositivo Windows attendibile

La prima tecnica Pass-ta-key consente al malware di impersonare un dispositivo Windows che Google considera già attendibile.

Il malware sfrutta la chiave d’identità del dispositivo basata su TPM di Chrome per richiedere una risposta di autenticazione valida all’autenticatore cloud di Google. Il processo può avvenire senza biometria, PIN, approvazione dell’utente o persino senza sbloccare il computer.

Google può quindi restituire un’asserzione di passkey firmata che l’attaccante può utilizzare per accedere all’account preso di mira.

Le asserzioni di passkey contengono un flag di verifica utente che indica se l’utente ha approvato il login tramite PIN o controllo biometrico. I siti web possono bloccare questo attacco quando richiedono la verifica dell’utente e convalidano correttamente quel flag.

Silver Pass-ta-key aggiunge una chiave controllata dall’attaccante

La seconda tecnica, chiamata Silver Pass-ta-key, consente agli attaccanti di registrare la propria chiave di verifica presso l’autenticatore cloud di Google.

Il malware prima rimuove o invalida lo stato delle passkey esistenti di Chrome, costringendo il browser a ripetere il processo di registrazione del dispositivo. Durante la registrazione, l’attaccante invia una chiave di verifica che controlla.

Secondo Unit 42, il sistema di Google non ha verificato se la chiave sostitutiva provenisse da hardware attendibile.

Una volta che Google accetta la chiave dannosa, gli attaccanti possono usarla come prova che la vittima ha approvato una richiesta di autenticazione. Questa tecnica può aggirare i servizi che richiedono correttamente la verifica tramite PIN o biometria.

L’attaccante può anche autenticarsi in seguito da un altro dispositivo. Non ha più bisogno di un accesso continuo al computer originale compromesso.

Golden Pass-ta-key espone il segreto principale delle passkey

La tecnica più grave, Golden Pass-ta-key, prende di mira il segreto del dominio di sicurezza utilizzato per crittografare tutte le passkey sincronizzate tramite Google Password Manager.

Google fornisce temporaneamente questo segreto principale a Chrome durante la registrazione del dispositivo o il recupero dell’account. Unit 42 ha inizialmente trovato il segreto memorizzato in chiaro all’interno dei log FIDO di Chrome.

Google ha rimosso il valore da quei log dopo che i ricercatori hanno segnalato il problema.

Tuttavia, Unit 42 afferma che il segreto appare ancora temporaneamente nella memoria del processo di Chrome. Il malware può attivare la ri-registrazione del dispositivo e cercare nella memoria del browser la chiave di crittografia.

Dopo aver estratto il segreto, gli attaccanti possono decrittografare i record delle passkey sincronizzate e accedere alle loro chiavi private. Possono quindi trasferire quelle chiavi su un altro dispositivo e impersonare la vittima.

Il segreto rubato potrebbe anche decrittografare le passkey aggiunte all’account in seguito. I ricercatori hanno riferito che l’implementazione di Google attualmente non offre un modo per ruotare o revocare il segreto del dominio di sicurezza.

Ciò significa che gli attaccanti potrebbero mantenere l’accesso sia alle passkey sincronizzate esistenti che a quelle future dopo aver rubato la chiave.

Le passkey dipendono ancora dalla sicurezza del dispositivo

Unit 42 ha segnalato privatamente le debolezze di Google Password Manager a Google prima di pubblicare la sua ricerca. Google non aveva confermato pubblicamente se avesse risolto completamente ogni tecnica descritta.

La ricerca mostra che le passkey possono ancora diventare vulnerabili quando il malware compromette il dispositivo che le gestisce. Anche se Microsoft ha spinto gli utenti verso le passkey, l’autenticazione senza password non può proteggere completamente gli account quando gli attaccanti controllano il browser o il sistema operativo.

I siti web dovrebbero richiedere la verifica dell’utente e convalidare il relativo flag della passkey. Anche i gestori di credenziali dovrebbero confermare che le chiavi del dispositivo appena registrate provengano da hardware attendibile.

Gli sviluppatori dovrebbero rafforzare i processi di recupero e ri-registrazione del dispositivo limitando al contempo per quanto tempo le chiavi di crittografia sensibili rimangono disponibili nella memoria del browser.

Gli utenti dovrebbero continuare a installare gli aggiornamenti di sicurezza, evitare download sospetti e proteggere i propri computer dal malware. Google ha anche introdotto il recupero dell’account tramite video selfie con protezioni contro i deepfake come parte dei suoi più ampi sforzi per la sicurezza degli account.

La sicurezza del dispositivo rimane particolarmente importante quando si utilizzano reti pubbliche. Microsoft ha recentemente scoperto una campagna malware globale su Wi-Fi degli hotel che ha preso di mira i viaggiatori tramite portali captivi compromessi.

Via BleepingComputer