Ha bekapcsoltad a hozzáférési kulcsokat Google-fiókodban, valószínűleg hallottad már az ígéretet: nincs begépelendő jelszó, nincs mit adathalászattal megszerezni, és semmi sem ül egy adatbázisban arra várva, hogy kiszivárogjon. Ez az ígéret nagyrészt igaz. A kutatók azonban most leírtak egy „Pass-ta-key” becenévre keresztelt technikát, amely megmutatja, hogy a saját eszközödön futó kártevő mégis hozzáférhet a Google Jelszókezelőben tárolt hozzáférési kulcsokhoz. Érdemes pontosan megérteni, mit jelent ez, és mit nem, mert a megoldás nem az, hogy „ne használj többé hozzáférési kulcsokat”.

Rövid emlékeztető arról, hogyan működnek valójában a hozzáférési kulcsok

A hozzáférési kulcs egy kulcspár, nem pedig egy begépelendő titok. A privát résznek elvileg soha nem szabad elhagynia az eszközödet; a webhely vagy alkalmazás csak a nyilvános részt és egy, a privát kulcs birtoklását bizonyító aláírást lát. Ettől ellenállók a hozzáférési kulcsok a klasszikus adathalászattal szemben — nincs jelszó vagy egyszer használatos kód, amit egy hamis bejelentkezési oldal ellophatna, mert a privát kulcs nem olyasmi, amit rá lehet venni, hogy bárhová begépeld.

A bökkenő a „szinkronizált” szó. Ahhoz, hogy egy hozzáférési kulcs működjön a telefonodon, laptopodon és táblagépeden is, a Google Jelszókezelő a Google-fiókodon keresztül titkosítja és szinkronizálja a hozzáférési kulcsokat, ahelyett hogy mindegyiket egyetlen fizikai eszközhöz kötné. Ez a kényelem egyben nagyobb támadási felületet is jelent, mint egy olyan hozzáférési kulcs, amely fizikailag egyetlen biztonsági kulcshoz vagy eszközhöz kötődik.

Mire mutat rá valójában a Pass-ta-key kutatása

A kutatásról szóló beszámolók szerint (a Malwarebytes közvetítésével) a megállapítás az, hogy egy olyan eszközön futó kártevő, amelyen a Google Jelszókezelő fel van oldva, eltérítheti a hozzáférési kulccsal védett fiókokat — nem az alapul szolgáló nyilvános kulcsú kriptográfia feltörésével, hanem a kulcsokat tároló, feloldó és szinkronizáló szoftverréteg visszaélésével. Más szóval: a hozzáférési kulcsok mögötti matematikát nem törték fel. A célkeresztben minden körül van, ami a matematikát körülveszi — a helyi tároló, a feloldási folyamat, a szinkronizációs csatorna.

A támadási lánc pontos technikai részleteit az eddig nyilvánosan elérhető információk nem ismertették teljes körűen, ezért érdemes óvatosnak lenni, és nem túlzásba vinni a dolgot úgy, hogy „a hozzáférési kulcsok elromlottak”. Ami világos, és összhangban áll azzal, ahogyan ezek a támadások általában működnek, az a kockázat általános formája: ha egy kártevő kellően magas szintű hozzáférést szerez egy olyan eszközön, amelyen fel van oldva a hozzáférésikulcs-tároló, akkor potenciálisan eljárhat a nevedben a tárolón belül, vagy kinyerhet olyan adatokat, amelyekkel a támadó máshol hitelesíthet téged.

Miért nem ássa alá ez a hozzáférési kulcsok melletti érveket

Csábító lehet egy ilyen címet úgy értelmezni, hogy „a hozzáférési kulcsok megbuktak”. Nem buktak meg — egy konkrét, rendkívül gyakori támadást zártak ki: a távoli adathalászatot, amikor a támadó a világ bármely pontjáról rávesz, hogy egy hamis webhelyen gépelj be egy jelszót vagy egyszer használatos kódot. Ez a támadás továbbra sem működik egy valódi hozzáférési kulccsal szemben. A Pass-ta-key egy másik, régebbi fenyegetési modellt szemléltet: azt a támadót, akinek már fut kódja az eszközödön. Ez a fenyegetés mindig is létezett, és a jelszavak esetében vitathatatlanul rosszabb volt — egy fertőzött gépen futó billentyűzetnaplózó vagy információlopó ugyanolyan könnyen megszerezhette a begépelt jelszót és a munkamenet-sütit. A hozzáférési kulcsok szűkítik a támadási felületet; nem szüntetik meg „az eszközöd feltört” kategóriát.

Mit érdemes ténylegesen ellenőrizni és megtenni

Néhány konkrét, ellenőrizhető lépés, nagyjából a hatásuk szerinti sorrendben:

  • Tudd, hogy a hozzáférési kulcsaid közül melyek szinkronizáltak, és melyek kötődnek az eszközhöz. A Google Jelszókezelőben (passwords.google.com, a „Hozzáférési kulcsok” alatt) láthatod, mi van tárolva és szinkronizálva a fiókoddal. Egy fizikai biztonsági kulccsal (például YubiKey-jel) létrehozott és megerősített hozzáférési kulcs, amelyet nem szinkronizáltál, ahhoz a hardverhez kötődik, és nem ugyanúgy van kitéve ennek a támadástípusnak.
  • A legfontosabb fiókjaidnál — elsődleges e-mail, bank, munkahelyi egyszeri bejelentkezés — a szinkronizált hozzáférési kulcs helyett inkább hardveres biztonsági kulcsot használj. Ez kissé kevésbé kényelmes (szükséged van a fizikai kulcsra), viszont egyáltalán nem érinti a felhőalapú szinkronizáció, így az adott fiók esetében megszünteti ezt a teljes támadási felületet.
  • Tartsd tisztán magát az eszközt is, mert most ez a tényleges csatatér. Telepítsd időben az operációs rendszer és a böngésző frissítéseit, kerüld az alkalmazások és bővítmények hivatalos áruházakon kívüli telepítését, és ne hagyd figyelmen kívül a vírusirtó vagy végpontvédelmi riasztásokat — a kártevőfertőzés előfeltétele ennek a támadástípusnak, ezért az eszköz biztonságos használata több célt is szolgál.
  • Kapcsold be a Google Speciális védelem programját, ha valószínű célpont lehetsz (újságíróként, aktivistaként, vezetőként, rendszergazdaként, vagy ha korábban már célba vettek). Ez kifejezetten az ilyen fiókeltérítési helyzetekkel szemben szigorítja a fiók-helyreállítási és bejelentkezési szabályokat.
  • Időnként ellenőrizd Google-fiókod „Legutóbbi biztonsági tevékenység” részét és a csatlakoztatott eszközöket, és távolíts el mindent, amit nem ismersz fel, vagy amit már nem használsz — beleértve a régi, szinkronizált hozzáférési kulcsokat is, amelyek azóta lecserélt eszközökön maradtak.
  • Ne hagyd el a tartalék hitelesítési módszeredet. Tarts meg egy helyreállítási lehetőséget (tartalék kódokat vagy egy másik eszköztípuson lévő második hozzáférési kulcsot), amely nem ugyanattól az eszköztől függ, így nem zár ki a rendszerből, ha le kell törölnöd egy fertőzött gépet.

Röviden: a hozzáférési kulcsok továbbra is jobbak a jelszavaknál, és az „adathalászattal megszerezhetetlen” továbbra is pontos kifejezés arra, amit a távoli adathalászattal szemben nyújtanak. A Pass-ta-key arra emlékeztet, hogy az „adathalászattal megszerezhetetlen” soha nem jelentette azt, hogy „immunis a feltört eszközzel szemben” — a második ellen pedig az unalmas dolgok védenek: frissítsd az eszközeidet, figyeld a kártevőfertőzés jeleit, és a legfontosabb fiókjaidat szinkronizált kulcsok helyett hardverhez kötött kulcsokkal védd.