Jeśli włączyłeś klucze dostępu na swoim koncie Google, prawdopodobnie słyszałeś już tę argumentację: nie trzeba wpisywać hasła, nie ma czego wyłudzać, nic nie czeka w bazie danych na wyciek. W dużej mierze to prawda. Jednak badacze opisali teraz technikę — przezywaną „Pass-ta-key” — która pokazuje, że złośliwe oprogramowanie na twoim własnym urządzeniu nadal może uzyskać dostęp do kluczy dostępu przechowywanych w Menedżerze haseł Google. Warto dokładnie zrozumieć, co to oznacza, a czego nie oznacza, ponieważ rozwiązaniem nie jest „przestań używać kluczy dostępu”.
Krótkie przypomnienie, jak właściwie działają klucze dostępu
Klucz dostępu to para kluczy, a nie sekret, który wpisujesz. Prywatna połowa ma nigdy nie opuszczać twojego urządzenia; witryna lub aplikacja widzi wyłącznie połowę publiczną oraz podpis potwierdzający, że posiadasz klucz prywatny. Dzięki temu klucze dostępu są odporne na klasyczny phishing — nie ma hasła ani jednorazowego kodu, które fałszywa strona logowania mogłaby wykraść, ponieważ klucz prywatny nie jest czymś, co można cię nakłonić do wpisania w dowolnym miejscu.
Problemem jest słowo „synchronizowane”. Aby klucz dostępu działał na telefonie, laptopie i tablecie, Menedżer haseł Google szyfruje klucze dostępu i synchronizuje je za pośrednictwem konta Google, zamiast przypisywać każdy z nich do jednego fizycznego urządzenia. Ta wygoda oznacza również większą powierzchnię ataku niż w przypadku klucza dostępu fizycznie powiązanego z jednym kluczem bezpieczeństwa lub jednym urządzeniem.
Na co faktycznie wskazują badania nad Pass-ta-key
Zgodnie z doniesieniami na temat tych badań (za pośrednictwem Malwarebytes), ustalenie jest takie, że złośliwe oprogramowanie działające na urządzeniu, na którym Menedżer haseł Google jest odblokowany, może przejąć konta chronione kluczami dostępu — nie przez złamanie leżącej u podstaw kryptografii klucza publicznego, lecz przez wykorzystanie warstwy oprogramowania, która przechowuje, odblokowuje i synchronizuje klucze. Innymi słowy: matematyka stojąca za kluczami dostępu nie została złamana. Celem ataku jest wszystko wokół tej matematyki — lokalny sejf, proces odblokowywania i kanał synchronizacji.
Dokładne techniczne mechanizmy łańcucha wykorzystania luki nie zostały dotąd w pełni opisane w dostępnych publicznie materiałach, dlatego warto uważać, by nie wyolbrzymiać tego do stwierdzenia, że „klucze dostępu są złamane”. Jasne jest natomiast — i zgodne z tym, jak zwykle działają takie rzeczy — ogólne zarysowanie ryzyka: jeśli złośliwe oprogramowanie uzyska wystarczająco wysoki poziom dostępu na urządzeniu, na którym odblokowany jest magazyn kluczy dostępu, potencjalnie może działać w tym magazynie jako ty albo wyeksportować dane pozwalające atakującemu uwierzytelnić się jako ty w innym miejscu.
Dlaczego nie podważa to argumentów przemawiających za kluczami dostępu
Łatwo odczytać taki nagłówek jako „klucze dostępu zawiodły”. Nie zawiodły — wyeliminowały konkretny, niezwykle powszechny atak: zdalny phishing, w którym atakujący z dowolnego miejsca na świecie nakłania cię do wpisania hasła lub jednorazowego kodu na fałszywej stronie. Taki atak nadal jest nieskuteczny przeciwko prawdziwemu kluczowi dostępu. Pass-ta-key pokazuje natomiast inny, starszy model zagrożeń: atakującego, który już ma uruchomiony kod na twoim urządzeniu. To zagrożenie istniało zawsze, a w przypadku haseł było prawdopodobnie jeszcze gorsze — keylogger lub program wykradający informacje na zainfekowanym komputerze mógł równie łatwo przechwycić wpisane hasło i plik cookie sesji. Klucze dostępu zawężają powierzchnię ataku; nie eliminują kategorii „twoje urządzenie zostało przejęte”.
Co właściwie sprawdzić i zrobić
Kilka konkretnych, możliwych do zweryfikowania kroków, mniej więcej według ich znaczenia:
- Dowiedz się, które z twoich kluczy dostępu są synchronizowane, a które przypisane do urządzenia. W Menedżerze haseł Google (passwords.google.com, w sekcji „Klucze dostępu”) możesz sprawdzić, co jest przechowywane i synchronizowane z twoim kontem. Klucz dostępu utworzony i potwierdzony za pomocą fizycznego klucza bezpieczeństwa (takiego jak YubiKey), którego nie zsynchronizowałeś, jest powiązany z tym sprzętem i nie jest narażony na tę klasę ataków w taki sam sposób.
- W przypadku kont o największym znaczeniu — głównego adresu e-mail, banku i służbowego logowania jednokrotnego — wybierz sprzętowy klucz bezpieczeństwa zamiast synchronizowanego klucza dostępu. Jest to nieco mniej wygodne (potrzebujesz fizycznego klucza), ale taki klucz w ogóle nie korzysta z synchronizacji w chmurze, co usuwa całą tę powierzchnię ataku dla danego konta.
- Dbaj o czystość samego urządzenia, ponieważ to ono jest teraz właściwym polem walki. Niezwłocznie instaluj aktualizacje systemu operacyjnego i przeglądarki, unikaj instalowania aplikacji lub rozszerzeń spoza oficjalnych sklepów i nie ignoruj alertów programu antywirusowego ani systemu ochrony punktów końcowych — infekcja złośliwym oprogramowaniem jest warunkiem wstępnym tego rodzaju ataku, więc higiena urządzenia spełnia podwójną funkcję.
- Włącz Zaawansowany program ochrony Google, jeśli możesz być prawdopodobnym celem (dziennikarzem, aktywistą, członkiem kadry kierowniczej, administratorem lub osobą, która była już wcześniej celem ataku). Zaostrza on zasady odzyskiwania konta i logowania, konkretnie z myślą o tego rodzaju scenariuszu przejęcia konta.
- Okresowo przeglądaj „Ostatnią aktywność związaną z bezpieczeństwem” na swoim koncie Google oraz połączone urządzenia i usuwaj wszystko, czego nie rozpoznajesz lub czego już nie używasz — w tym stare, zsynchronizowane klucze dostępu znajdujące się na urządzeniach, które zostały już wymienione.
- Nie rezygnuj z zapasowej metody uwierzytelniania. Zachowaj metodę odzyskiwania dostępu (kody zapasowe lub drugi klucz dostępu na urządzeniu innego typu), która nie zależy od tego samego urządzenia, aby nie utracić dostępu, jeśli konieczne będzie wymazanie zainfekowanego komputera.
W skrócie: klucze dostępu nadal wygrywają z hasłami, a „niemożliwe do wyłudzenia” wciąż trafnie opisuje ich działanie przeciwko zdalnemu phishingowi. Pass-ta-key przypomina, że „niemożliwe do wyłudzenia” nigdy nie oznaczało „odporne na przejęcie urządzenia” — a obrona przed tym drugim zagrożeniem jest mało ekscytująca: aktualizuj urządzenia, wypatruj złośliwego oprogramowania i zabezpiecz najważniejsze konta kluczami powiązanymi ze sprzętem, a nie kluczami synchronizowanymi.
