As jy wagwoordsleutels vir jou Google-rekening aangeskakel het, het jy waarskynlik die verkooppraatjie gehoor: geen wagwoord om te tik nie, niks om uit te vis nie, niks wat in ’n databasis lê en wag om uit te lek nie. Daardie verkooppraatjie is grootliks waar. Maar navorsers het nou ’n tegniek beskryf — met die bynaam “Pass-ta-key” — wat wys dat wanware op jou eie toestel steeds toegang kan kry tot wagwoordsleutels wat in Google Wagwoordbestuurder gestoor is. Dit is die moeite werd om presies te verstaan wat dit beteken en nie beteken nie, want die oplossing is nie “hou op om wagwoordsleutels te gebruik” nie.

’n Vinnige herhaling van hoe wagwoordsleutels werklik werk

’n Wagwoordsleutel is ’n sleutelpaar, nie ’n geheim wat jy tik nie. Die private helfte behoort nooit jou toestel te verlaat nie; die webwerf of toepassing sien slegs die publieke helfte en ’n handtekening wat bewys dat jy die private sleutel besit. Dít maak wagwoordsleutels bestand teen klassieke uitvissing — daar is geen wagwoord of eenmalige kode wat ’n vals aanmeldbladsy kan steel nie, omdat die private sleutel nie iets is wat jy mislei kan word om enige plek in te tik nie.

Die knelpunt is die woord “gesinkroniseer”. Om ’n wagwoordsleutel op jou foon, skootrekenaar en tablet te laat werk, enkripteer en sinkroniseer Google Wagwoordbestuurder jou wagwoordsleutels deur jou Google-rekening, in plaas daarvan om elkeen aan ’n enkele fisiese toestel te koppel. Daardie gerief skep ook ’n groter aanvaloppervlak as ’n wagwoordsleutel wat fisies aan een sekuriteitsleutel of een toestel gebind is.

Waarop die Pass-ta-key-navorsing werklik dui

Volgens beriggewing oor hierdie navorsing (via Malwarebytes) is die bevinding dat wanware wat loop op ’n toestel waar Google Wagwoordbestuurder ontsluit is, rekeninge wat deur wagwoordsleutels beskerm word, kan kaap — nie deur die onderliggende publieke-sleutel-kriptografie te breek nie, maar deur die sagtewarelaag wat die sleutels stoor, ontsluit en sinkroniseer, te misbruik. Met ander woorde: die wiskunde agter wagwoordsleutels is nie gekraak nie. Wat geteiken word, is alles rondom die wiskunde — die plaaslike kluis, die ontsluitingsproses, die sinkroniseringskanaal.

Die presiese tegniese meganika van die uitbuitingsketting is nog nie volledig uiteengesit in wat tot dusver openbaar is nie, daarom is dit belangrik om versigtig te wees en dit nie te oordryf tot “wagwoordsleutels is gebreek” nie. Wat wel duidelik is, en ooreenstem met hoe hierdie dinge gewoonlik werk, is die algemene vorm van die risiko: as wanware ’n voldoende hoë vlak van toegang verkry op ’n toestel met ’n ontsluite wagwoordsleutelstoorplek, kan dit moontlik binne daardie stoorplek namens jou optree, of materiaal uitvoer waarmee ’n aanvaller elders as jy kan staaf.

Waarom dit nie die saak vir wagwoordsleutels omverwerp nie

Dit is aanloklik om ’n opskrif soos hierdie te lees as “wagwoordsleutels het misluk”. Dit het hulle nie — hulle het ’n spesifieke, uiters algemene aanval afgesny: afgeleë uitvissing, waar ’n aanvaller enige plek in die wêreld jou mislei om ’n wagwoord of eenmalige kode op ’n vals webwerf in te tik. Daardie aanval is steeds nutteloos teen ’n egte wagwoordsleutel. Wat Pass-ta-key illustreer, is ’n ander, ouer bedreigingsmodel: ’n aanvaller wat reeds kode op jou toestel laat loop. Daardie bedreiging het nog altyd bestaan, en dit was waarskynlik erger vir wagwoorde — ’n sleutelvaslegger of inligtingsdief op ’n besmette masjien kon net so maklik ’n getikte wagwoord en ’n sessieskoekie vaslê. Wagwoordsleutels verklein die aanvaloppervlak; hulle skakel nie die kategorie “jou toestel is gekompromitteer” uit nie.

Wat jy werklik moet nagaan en doen

’n Paar konkrete, kontroleerbare stappe, rofweg in volgorde van impak:

  • Weet watter van jou wagwoordsleutels gesinkroniseer is teenoor toestelgebonde. In Google Wagwoordbestuurder (passwords.google.com, onder “Wagwoordsleutels”) kan jy sien wat gestoor en met jou rekening gesinkroniseer word. ’n Wagwoordsleutel wat met ’n fisiese sekuriteitsleutel (soos ’n YubiKey) geskep en bevestig is en wat jy nie gesinkroniseer het nie, is aan daardie hardeware gebind en word nie op dieselfde manier aan hierdie soort aanval blootgestel nie.
  • Vir jou rekeninge met die hoogste waarde — primêre e-pos, bank, werk se enkele aanmelding — verkies ’n hardeware-sekuriteitsleutel bo ’n gesinkroniseerde wagwoordsleutel. Dit is effens minder gerieflik (jy het die fisiese sleutel nodig), maar dit raak nooit enige wolksinkronisering nie, wat hierdie hele aanvaloppervlak vir daardie rekening verwyder.
  • Hou die toestel self skoon, aangesien dit nou die werklike slagveld is. Installeer bedryfstelsel- en blaaieropdaterings dadelik, vermy die installering van toepassings of uitbreidings van buite amptelike winkels, en moenie antivirus- of eindpuntwaarskuwings ignoreer nie — ’n wanwarebesmetting is die voorvereiste vir hierdie soort aanval, dus dien toestelhigiëne ’n dubbele doel.
  • Skakel Google se Gevorderde-beskermingsprogram aan as jy ’n waarskynlike teiken is (joernaliste, aktiviste, uitvoerende bestuurders, administrateurs of enigiemand wat al voorheen geteiken is). Dit verskerp rekeningherwinning en aanmeldreëls spesifiek teen hierdie soort rekeningoorname-scenario.
  • Gaan gereeld jou Google-rekening se “Onlangse sekuriteitsaktiwiteit” en gekoppelde toestelle na en verwyder enigiets wat jy nie herken nie of nie meer gebruik nie — insluitend ou gesinkroniseerde wagwoordsleutels op toestelle wat jy intussen vervang het.
  • Moenie jou rugsteunverifikasiemetode laat vaar nie. Hou ’n herstelmetode (rugsteunkodes, ’n tweede wagwoordsleutel op ’n ander soort toestel) wat nie van dieselfde toestel afhanklik is nie, sodat jy nie uitgesluit word as jy wel ’n besmette masjien moet uitvee nie.

Die kort weergawe: wagwoordsleutels is steeds beter as wagwoorde, en “onuitvisbaar” is steeds ’n akkurate woord vir wat hulle teen afgeleë uitvissing doen. Pass-ta-key herinner ons daaraan dat “onuitvisbaar” nooit dieselfde aanspraak as “immuun teen ’n gekompromitteerde toestel” was nie — en jou verdediging teen laasgenoemde is die vervelige goed: werk jou toestelle by, let op wanware, en beskerm jou belangrikste rekeninge met hardewaregebonde sleutels eerder as gesinkroniseerde sleutels.