Hvis du har slått på passnøkler for Google-kontoen din, har du sannsynligvis hørt salgsargumentet: ingen passord å skrive inn, ingenting å phishe, ingenting som ligger i en database og venter på å lekke. Det argumentet stemmer i stor grad. Men forskere har nå beskrevet en teknikk – med kallenavnet «Pass-ta-key» – som viser at skadevare på din egen enhet fortsatt kan få tilgang til passnøkler som er lagret i Google Password Manager. Det er verdt å forstå nøyaktig hva dette betyr og ikke betyr, for løsningen er ikke «slutt å bruke passnøkler».

En rask oppfriskning av hvordan passnøkler faktisk fungerer

En passnøkkel er et nøkkelpar, ikke en hemmelighet du skriver inn. Den private delen skal aldri forlate enheten din; nettstedet eller appen ser bare den offentlige delen og en signatur som beviser at du har den private nøkkelen. Det er dette som gjør passnøkler motstandsdyktige mot klassisk phishing – det finnes ikke noe passord eller noen engangskode som en falsk innloggingsside kan stjele, fordi den private nøkkelen ikke er noe du kan lures til å skrive inn noe sted.

Problemet ligger i ordet «synkronisert». For at en passnøkkel skal fungere på telefonen, laptopen og nettbrettet ditt, krypterer og synkroniserer Google Password Manager passnøklene dine gjennom Google-kontoen din, i stedet for å låse hver enkelt til én fysisk enhet. Denne bekvemmeligheten gir også en større angrepsflate enn en passnøkkel som fysisk er bundet til én sikkerhetsnøkkel eller én enhet.

Hva Pass-ta-key-forskningen faktisk peker på

Ifølge omtale av denne forskningen (via Malwarebytes) er funnet at skadevare som kjører på en enhet der Google Password Manager er låst opp, kan kapre kontoer som er beskyttet med passnøkler – ikke ved å bryte den underliggende kryptografien med offentlige nøkler, men ved å misbruke programvarelaget som lagrer, låser opp og synkroniserer nøklene. Med andre ord: Matematikken bak passnøkler er ikke knekt. Det som angripes, er alt rundt matematikken – det lokale hvelvet, opplåsingsflyten, synkroniseringskanalen.

De nøyaktige tekniske detaljene i utnyttelseskjeden er ikke fullt ut beskrevet i det som hittil er offentlig kjent, så det er verdt å være forsiktig med å overdrive dette til at «passnøkler er ødelagt». Det som er klart, og som stemmer med hvordan slike ting vanligvis fungerer, er den generelle formen på risikoen: Hvis skadevare oppnår et tilstrekkelig høyt tilgangsnivå på en enhet som har et ulåst passnøkkellager, kan den potensielt opptre som deg innenfor dette lageret, eller eksportere materiale som gjør det mulig for en angriper å autentisere seg som deg andre steder.

Hvorfor dette ikke rokker ved saken for passnøkler

Det er fristende å lese en overskrift som denne som «passnøkler mislyktes». Det gjorde de ikke – de stengte en spesifikk og svært vanlig type angrep: ekstern phishing, der en angriper hvor som helst i verden lurer deg til å skrive inn et passord eller en engangskode på et falskt nettsted. Det angrepet fungerer fortsatt ikke mot en ekte passnøkkel. Det Pass-ta-key illustrerer, er en annen og eldre trusselmodell: en angriper som allerede har kode kjørende på enheten din. Denne trusselen har alltid eksistert, og den var på mange måter verre for passord – en tastelogger eller en infostjeler på en infisert maskin kunne like enkelt hente et passord du skrev inn og en øktinformasjonskapsel. Passnøkler begrenser angrepsflaten; de eliminerer ikke kategorien «enheten din er kompromittert».

Hva du faktisk bør sjekke og gjøre

Noen konkrete og etterprøvbare tiltak, omtrent i rekkefølge etter effekt:

  • Finn ut hvilke av passnøklene dine som er synkroniserte, og hvilke som er enhetsbundne. I Google Password Manager (passwords.google.com, under «Passnøkler») kan du se hva som er lagret og synkronisert med kontoen din. En passnøkkel som er opprettet og bekreftet med en fysisk sikkerhetsnøkkel (for eksempel en YubiKey), og som du ikke har synkronisert, er bundet til denne maskinvaren og er ikke utsatt for denne typen angrep på samme måte.
  • For kontoene dine med høyest verdi – hoved-e-post, bank og enkel pålogging til jobben – bør du foretrekke en fysisk sikkerhetsnøkkel fremfor en synkronisert passnøkkel. Det er litt mindre praktisk (du trenger den fysiske nøkkelen), men den berører aldri skysynkronisering i det hele tatt, noe som fjerner hele denne angrepsflaten for den aktuelle kontoen.
  • Hold selve enheten ren, siden det er den faktiske slagmarken nå. Installer oppdateringer til operativsystem og nettleser så snart som mulig, unngå å installere apper eller utvidelser fra andre steder enn offisielle butikker, og ikke ignorer varsler fra antivirus eller endepunktsikkerhet – en skadevareinfeksjon er en forutsetning for denne typen angrep, så god enhetshygiene gjør dobbelt nytte.
  • Slå på Googles Advanced Protection Program hvis du er et sannsynlig mål (journalister, aktivister, ledere, administratorer eller andre som har blitt målrettet før). Det skjerper reglene for kontogjenoppretting og pålogging spesielt mot denne typen kontoovertakelse.
  • Gå jevnlig gjennom «Nylig sikkerhetsaktivitet» for Google-kontoen din og tilkoblede enheter, og fjern alt du ikke kjenner igjen eller ikke lenger bruker – inkludert gamle, synkroniserte passnøkler som ligger på enheter du siden har byttet ut.
  • Ikke dropp den alternative autentiseringsmetoden din. Ha en gjenopprettingsmetode (sikkerhetskopikoder eller en ekstra passnøkkel på en annen enhetstype) som ikke er avhengig av den samme enheten, slik at du ikke blir utestengt hvis du må slette og installere en infisert maskin på nytt.

Kortversjonen: Passnøkler er fortsatt bedre enn passord, og «umulig å phishe» er fortsatt en presis beskrivelse av hvordan de beskytter mot ekstern phishing. Pass-ta-key minner oss om at «umulig å phishe» aldri var det samme som «immun mot en kompromittert enhet» – og forsvaret mot det sistnevnte er de kjedelige tingene: oppdater enhetene dine, følg med på skadevare, og beskytt de viktigste kontoene dine med maskinvarebundne nøkler i stedet for synkroniserte.