Malware può rubare Google Passkeys utilizzando attacchi Pass-ta-key

Gli attacchi Pass-ta-key possono consentire al malware di abusare di Google Password Manager e dirottare le passkey memorizzate tramite Chrome su Windows. Gli attacchi non violano la crittografia delle passkey, ma sfruttano punti deboli nella registrazione del dispositivo, nel recupero, nella sincronizzazione e nei controlli di attendibilità.

L’Unit 42 di Palo Alto Networks ha scoperto tre attacchi che colpiscono le passkey sincronizzate tramite Google Password Manager. I ricercatori hanno denominato collettivamente le tecniche Pass-ta-key.

Tutti e tre gli attacchi richiedono che il malware sia già in esecuzione sul computer Windows della vittima. Tuttavia, alcune tecniche funzionano senza permessi di amministratore o ulteriore interazione da parte dell’utente.

Il malware può impersonare un dispositivo Windows considerato attendibile

La prima tecnica Pass-ta-key consente al malware di impersonare un dispositivo Windows che Google considera già attendibile.

Il malware abusa della chiave di identità del dispositivo di Chrome, supportata dal TPM, per richiedere una risposta di autenticazione valida all’autenticatore cloud di Google. L’operazione può avvenire senza dati biometrici, PIN, approvazione dell’utente o persino senza sbloccare il computer.

Google può quindi restituire un’asserzione di passkey firmata che l’aggressore può utilizzare per accedere all’account preso di mira.

Le asserzioni di passkey contengono un flag di verifica utente che indica se l’utente ha approvato l’accesso tramite un controllo PIN o biometrico. I siti web possono bloccare questo attacco quando richiedono la verifica utente e convalidano correttamente tale flag.

Silver Pass-ta-key aggiunge una chiave controllata dall’aggressore

La seconda tecnica, chiamata Silver Pass-ta-key, consente agli aggressori di registrare la propria chiave di verifica presso l’autenticatore cloud di Google.

Il malware rimuove o invalida prima lo stato della passkey esistente di Chrome, costringendo il browser a ripetere il processo di registrazione del dispositivo. Durante la registrazione, l’aggressore invia una chiave di verifica sotto il proprio controllo.

Secondo Unit 42, il sistema di Google non verificava se la chiave sostitutiva provenisse da hardware attendibile.

Una volta che Google accetta la chiave dannosa, gli aggressori possono usarla come prova che la vittima ha approvato una richiesta di autenticazione. Questa tecnica può aggirare i servizi che richiedono correttamente la verifica tramite PIN o dati biometrici.

L’aggressore può anche autenticarsi in seguito da un altro dispositivo. Non ha più bisogno di un accesso continuo al computer compromesso originale.

Golden Pass-ta-key espone il segreto principale delle passkey

La tecnica più grave, Golden Pass-ta-key, prende di mira il segreto del dominio di sicurezza utilizzato per crittografare tutte le passkey sincronizzate tramite Google Password Manager.

Google fornisce temporaneamente questo segreto principale a Chrome durante la registrazione del dispositivo o il recupero dell’account. Unit 42 ha inizialmente trovato il segreto memorizzato in chiaro all’interno dei registri FIDO di Chrome.

Google ha rimosso il valore da quei registri dopo che i ricercatori hanno segnalato il problema.

Tuttavia, Unit 42 afferma che il segreto appare ancora temporaneamente nella memoria di processo di Chrome. Il malware può attivare la ri-registrazione del dispositivo e cercare la chiave di crittografia nella memoria del browser.

Dopo aver estratto il segreto, gli aggressori possono decrittografare i record delle passkey sincronizzate e accedere alle loro chiavi private. Possono quindi trasferire quelle chiavi su un altro dispositivo e impersonare la vittima.

Il segreto rubato può anche decrittografare le passkey aggiunte all’account in seguito. I ricercatori hanno riferito che l’implementazione di Google attualmente non offre un modo per ruotare o revocare il segreto del dominio di sicurezza.

Ciò significa che gli aggressori potrebbero mantenere l’accesso sia alle passkey sincronizzate esistenti che a quelle future, dopo aver rubato la chiave.

Le passkey dipendono ancora dalla sicurezza del dispositivo

Unit 42 ha segnalato privatamente le debolezze di Google Password Manager a Google prima di pubblicare la ricerca. Google non ha confermato pubblicamente di aver risolto completamente ogni tecnica descritta.

La ricerca mostra che le passkey possono ancora diventare vulnerabili quando il malware compromette il dispositivo che le gestisce. Anche se Microsoft ha spinto gli utenti verso le passkey, l’autenticazione senza password non può proteggere completamente gli account quando gli aggressori controllano il browser o il sistema operativo.

I siti web dovrebbero richiedere la verifica utente e convalidare il relativo flag della passkey. I gestori di credenziali dovrebbero anche confermare che le chiavi dei dispositivi appena registrati provengano da hardware attendibile.

Gli sviluppatori dovrebbero rafforzare i processi di recupero e ri-registrazione del dispositivo, limitando al contempo il tempo in cui le chiavi di crittografia sensibili rimangono disponibili nella memoria del browser.

Gli utenti dovrebbero continuare a installare gli aggiornamenti di sicurezza, evitare download sospetti e proteggere i propri computer dal malware. Google ha anche introdotto il recupero account Selfie Video con protezioni deepfake, nell’ambito dei suoi più ampi sforzi per la sicurezza degli account.

La sicurezza del dispositivo rimane particolarmente importante quando si utilizzano reti pubbliche. Microsoft ha recentemente scoperto una campagna malware globale su Wi-Fi degli hotel che ha preso di mira i viaggiatori attraverso portali captivi compromessi.

Via BleepingComputer