Αν έχετε ενεργοποιήσει τα passkeys για τον λογαριασμό σας Google, πιθανότατα έχετε ακούσει το επιχείρημα: δεν χρειάζεται να πληκτρολογήσετε κωδικό πρόσβασης, δεν υπάρχει τίποτα για υποκλοπή μέσω phishing και τίποτα δεν βρίσκεται σε μια βάση δεδομένων περιμένοντας να διαρρεύσει. Αυτό το επιχείρημα είναι σε μεγάλο βαθμό αληθινό. Ωστόσο, ερευνητές περιέγραψαν τώρα μια τεχνική — με το παρατσούκλι «Pass-ta-key» — που δείχνει ότι κακόβουλο λογισμικό στη δική σας συσκευή μπορεί και πάλι να αποκτήσει πρόσβαση στα passkeys που είναι αποθηκευμένα στο Google Password Manager. Αξίζει να κατανοήσουμε ακριβώς τι σημαίνει και τι δεν σημαίνει αυτό, επειδή η λύση δεν είναι «σταματήστε να χρησιμοποιείτε passkeys».
Μια σύντομη υπενθύμιση για το πώς λειτουργούν πραγματικά τα passkeys
Ένα passkey είναι ένα ζεύγος κλειδιών, όχι ένα μυστικό που πληκτρολογείτε. Το ιδιωτικό μέρος υποτίθεται ότι δεν εγκαταλείπει ποτέ τη συσκευή σας· ο ιστότοπος ή η εφαρμογή βλέπει μόνο το δημόσιο μέρος και μια υπογραφή που αποδεικνύει ότι διαθέτετε το ιδιωτικό κλειδί. Αυτό είναι που κάνει τα passkeys ανθεκτικά στο κλασικό phishing — δεν υπάρχει κωδικός πρόσβασης ή κωδικός μίας χρήσης για να κλέψει μια ψεύτικη σελίδα σύνδεσης, επειδή το ιδιωτικό κλειδί δεν είναι κάτι που μπορεί να σας ξεγελάσει ώστε να το πληκτρολογήσετε οπουδήποτε.
Η λεπτομέρεια είναι η λέξη «συγχρονισμένα». Για να λειτουργεί ένα passkey στο τηλέφωνο, τον φορητό υπολογιστή και το tablet σας, το Google Password Manager κρυπτογραφεί και συγχρονίζει τα passkeys μέσω του λογαριασμού σας Google, αντί να κλειδώνει το καθένα σε μία μόνο φυσική συσκευή. Αυτή η ευκολία αποτελεί επίσης μεγαλύτερη επιφάνεια επίθεσης από ένα passkey που είναι φυσικά συνδεδεμένο με ένα κλειδί ασφαλείας ή μία συσκευή.
Τι δείχνει στην πραγματικότητα η έρευνα Pass-ta-key
Σύμφωνα με δημοσιεύματα για την έρευνα αυτή (μέσω του Malwarebytes), το εύρημα είναι ότι κακόβουλο λογισμικό που εκτελείται σε συσκευή όπου το Google Password Manager είναι ξεκλείδωτο μπορεί να καταλάβει λογαριασμούς που προστατεύονται από passkeys — όχι παραβιάζοντας την υποκείμενη κρυπτογραφία δημόσιου κλειδιού, αλλά καταχρώμενο το επίπεδο λογισμικού που αποθηκεύει, ξεκλειδώνει και συγχρονίζει τα κλειδιά. Με άλλα λόγια: τα μαθηματικά πίσω από τα passkeys δεν έχουν παραβιαστεί. Αυτό που στοχοποιείται είναι ό,τι βρίσκεται γύρω από τα μαθηματικά — το τοπικό θησαυροφυλάκιο, η διαδικασία ξεκλειδώματος, το κανάλι συγχρονισμού.
Οι ακριβείς τεχνικές λεπτομέρειες της αλυσίδας εκμετάλλευσης δεν έχουν παρουσιαστεί πλήρως σε όσα είναι μέχρι τώρα δημόσια διαθέσιμα, επομένως χρειάζεται προσοχή ώστε να μην υπερβάλουμε μετατρέποντάς το σε «τα passkeys έχουν σπάσει». Αυτό που είναι σαφές και συμβαδίζει με τον τρόπο λειτουργίας τέτοιων επιθέσεων είναι η γενική μορφή του κινδύνου: αν το κακόβουλο λογισμικό αποκτήσει αρκετά υψηλό επίπεδο πρόσβασης σε μια συσκευή που διαθέτει ξεκλείδωτο χώρο αποθήκευσης passkeys, μπορεί δυνητικά να ενεργήσει ως εσείς μέσα σε αυτόν τον χώρο ή να εξαγάγει υλικό που επιτρέπει σε έναν επιτιθέμενο να πιστοποιηθεί ως εσείς αλλού.
Γιατί αυτό δεν αναιρεί την υπόθεση υπέρ των passkeys
Είναι δελεαστικό να διαβάσει κανείς έναν τέτοιο τίτλο ως «τα passkeys απέτυχαν». Δεν απέτυχαν — εξουδετέρωσαν μια συγκεκριμένη, εξαιρετικά συνηθισμένη επίθεση: το απομακρυσμένο phishing, όπου ένας επιτιθέμενος οπουδήποτε στον κόσμο σας ξεγελά ώστε να πληκτρολογήσετε έναν κωδικό πρόσβασης ή έναν κωδικό μίας χρήσης σε έναν ψεύτικο ιστότοπο. Αυτή η επίθεση εξακολουθεί να είναι ανίσχυρη απέναντι σε ένα πραγματικό passkey. Αυτό που αναδεικνύει το Pass-ta-key είναι ένα διαφορετικό, παλαιότερο μοντέλο απειλής: έναν επιτιθέμενο που έχει ήδη κώδικα σε εκτέλεση στη συσκευή σας. Αυτή η απειλή υπήρχε ανέκαθεν και ήταν πιθανώς χειρότερη για τους κωδικούς πρόσβασης — ένα keylogger ή infostealer σε έναν μολυσμένο υπολογιστή μπορούσε να αρπάξει εξίσου εύκολα έναν κωδικό πρόσβασης που πληκτρολογούσατε και ένα cookie συνεδρίας. Τα passkeys περιορίζουν την επιφάνεια επίθεσης· δεν εξαλείφουν την κατηγορία «η συσκευή σας έχει παραβιαστεί».
Τι να ελέγξετε και τι να κάνετε στην πράξη
Μερικά συγκεκριμένα και επαληθεύσιμα βήματα, περίπου με σειρά αντίκτυπου:
- Μάθετε ποια από τα passkeys σας είναι συγχρονισμένα και ποια είναι συνδεδεμένα με συγκεκριμένη συσκευή. Στο Google Password Manager (passwords.google.com, στην ενότητα «Passkeys»), μπορείτε να δείτε τι είναι αποθηκευμένο και συγχρονισμένο με τον λογαριασμό σας. Ένα passkey που δημιουργήθηκε και επιβεβαιώθηκε με ένα φυσικό κλειδί ασφαλείας (όπως ένα YubiKey) και το οποίο δεν συγχρονίσατε είναι συνδεδεμένο με το συγκεκριμένο υλικό και δεν εκτίθεται στην ίδια κατηγορία επίθεσης με τον ίδιο τρόπο.
- Για τους λογαριασμούς υψηλότερης αξίας — κύριο email, τράπεζα, ενιαία σύνδεση στην εργασία — προτιμήστε ένα κλειδί ασφαλείας υλικού αντί για ένα συγχρονισμένο passkey. Είναι ελαφρώς λιγότερο βολικό (χρειάζεστε το φυσικό κλειδί), αλλά δεν αγγίζει ποτέ τον συγχρονισμό στο cloud, γεγονός που εξαλείφει ολόκληρη αυτή την επιφάνεια επίθεσης για τον συγκεκριμένο λογαριασμό.
- Διατηρήστε καθαρή την ίδια τη συσκευή, καθώς εκεί βρίσκεται πλέον το πραγματικό πεδίο μάχης. Εγκαθιστάτε άμεσα τις ενημερώσεις του λειτουργικού συστήματος και του προγράμματος περιήγησης, αποφεύγετε την εγκατάσταση εφαρμογών ή επεκτάσεων από μη επίσημα καταστήματα και μην αγνοείτε τις ειδοποιήσεις προστασίας από ιούς ή endpoint — μια μόλυνση από κακόβουλο λογισμικό είναι προϋπόθεση για αυτό το είδος επίθεσης, επομένως η υγιεινή της συσκευής εξυπηρετεί διπλό σκοπό.
- Ενεργοποιήστε το Advanced Protection Program της Google αν είναι πιθανό να αποτελέσετε στόχο (δημοσιογράφοι, ακτιβιστές, στελέχη, διαχειριστές ή οποιοσδήποτε έχει στοχοποιηθεί στο παρελθόν). Αυστηροποιεί ειδικά τους κανόνες ανάκτησης λογαριασμού και σύνδεσης απέναντι σε αυτό το είδος σεναρίου κατάληψης λογαριασμού.
- Ελέγχετε περιοδικά τη «Recent security activity» του λογαριασμού σας Google και τις συνδεδεμένες συσκευές και αφαιρείτε οτιδήποτε δεν αναγνωρίζετε ή δεν χρησιμοποιείτε πλέον — συμπεριλαμβανομένων παλιών συγχρονισμένων passkeys που βρίσκονται σε συσκευές τις οποίες έχετε από τότε αντικαταστήσει.
- Μην καταργήσετε τη μέθοδο εφεδρικού ελέγχου ταυτότητας. Διατηρήστε μια μέθοδο ανάκτησης (εφεδρικούς κωδικούς, ένα δεύτερο passkey σε διαφορετικό τύπο συσκευής) που δεν εξαρτάται από την ίδια συσκευή, ώστε να μην αποκλειστείτε αν χρειαστεί πράγματι να διαγράψετε μια μολυσμένη συσκευή.
Η σύντομη εκδοχή: τα passkeys εξακολουθούν να είναι καλύτερα από τους κωδικούς πρόσβασης και το «μη υποκλέψιμο μέσω phishing» εξακολουθεί να είναι ακριβής περιγραφή για το πώς αντιμετωπίζουν το απομακρυσμένο phishing. Το Pass-ta-key υπενθυμίζει ότι το «μη υποκλέψιμο μέσω phishing» δεν ήταν ποτέ ο ίδιος ισχυρισμός με το «απρόσβλητο από μια παραβιασμένη συσκευή» — και η άμυνά σας απέναντι στο δεύτερο είναι τα βαρετά πράγματα: ενημερώνετε τις συσκευές σας, προσέχετε για κακόβουλο λογισμικό και προστατεύετε τους σημαντικότερους λογαριασμούς σας με κλειδιά συνδεδεμένα με υλικό αντί για συγχρονισμένα.
