Se você ativou as chaves de acesso para sua conta do Google, provavelmente já ouviu a proposta: nenhuma senha para digitar, nada para ser capturado por phishing, nada armazenado em um banco de dados esperando para vazar. Essa proposta é, em grande parte, verdadeira. Mas pesquisadores descreveram agora uma técnica — apelidada de "Pass-ta-key" — que mostra que malwares no seu próprio dispositivo ainda podem acessar as chaves de acesso armazenadas no Google Password Manager. Vale a pena entender exatamente o que isso significa e o que não significa, porque a solução não é "pare de usar chaves de acesso".

Uma breve revisão de como as chaves de acesso realmente funcionam

Uma chave de acesso é um par de chaves, não um segredo que você digita. A metade privada deve permanecer no seu dispositivo; o site ou aplicativo vê apenas a metade pública e uma assinatura que prova que você possui a chave privada. É isso que torna as chaves de acesso resistentes ao phishing clássico — não há senha nem código de uso único para uma página de login falsa roubar, porque a chave privada não é algo que possam induzir você a digitar em algum lugar.

A questão está na palavra "sincronizadas". Para permitir que uma chave de acesso funcione no seu celular, laptop e tablet, o Google Password Manager criptografa e sincroniza suas chaves de acesso por meio da sua conta do Google, em vez de vincular cada uma delas a um único dispositivo físico. Essa conveniência também representa uma superfície de ataque maior do que a de uma chave de acesso fisicamente vinculada a uma única chave de segurança ou a um único dispositivo.

O que a pesquisa sobre o Pass-ta-key realmente indica

Segundo as reportagens sobre essa pesquisa (via Malwarebytes), a descoberta é que um malware em execução em um dispositivo no qual o Google Password Manager está desbloqueado pode sequestrar contas protegidas por chaves de acesso — não quebrando a criptografia de chave pública subjacente, mas abusando da camada de software que armazena, desbloqueia e sincroniza as chaves. Em outras palavras: a matemática por trás das chaves de acesso não foi quebrada. O alvo é tudo ao redor da matemática — o cofre local, o fluxo de desbloqueio, o canal de sincronização.

Os mecanismos técnicos precisos da cadeia de exploração não foram totalmente detalhados no que se tornou público até agora, portanto é importante ter cuidado para não transformar isso em uma afirmação exagerada de que "as chaves de acesso foram quebradas". O que está claro, e é consistente com o modo como essas coisas geralmente funcionam, é o formato geral do risco: se um malware obtiver um nível de acesso suficientemente alto a um dispositivo que tenha um armazenamento de chaves de acesso desbloqueado, ele poderá potencialmente agir como você dentro desse armazenamento ou exportar material que permita a um invasor se autenticar como você em outro lugar.

Por que isso não invalida o argumento a favor das chaves de acesso

É tentador interpretar uma manchete como esta como "as chaves de acesso falharam". Não falharam — elas eliminaram um ataque específico e extremamente comum: o phishing remoto, no qual um invasor em qualquer lugar do mundo engana você para que digite uma senha ou um código de uso único em um site falso. Esse ataque continua sem efeito contra uma chave de acesso verdadeira. O que o Pass-ta-key ilustra é um modelo de ameaça diferente e mais antigo: um invasor que já tem código em execução no seu dispositivo. Essa ameaça sempre existiu e era, possivelmente, pior para as senhas — um keylogger ou infostealer em uma máquina infectada poderia capturar uma senha digitada e um cookie de sessão com a mesma facilidade. As chaves de acesso reduzem a superfície de ataque; elas não eliminam a categoria "seu dispositivo está comprometido".

O que verificar e fazer de fato

Algumas medidas concretas e verificáveis, aproximadamente em ordem de impacto:

  • Saiba quais das suas chaves de acesso estão sincronizadas e quais estão vinculadas ao dispositivo. No Google Password Manager (passwords.google.com, em "Chaves de acesso"), você pode ver o que está armazenado e sincronizado com sua conta. Uma chave de acesso criada e confirmada com uma chave de segurança física (como uma YubiKey) que você não sincronizou está vinculada àquele hardware e não fica exposta a essa classe de ataque da mesma forma.
  • Para suas contas de maior valor — e-mail principal, banco, login único do trabalho — prefira uma chave de segurança de hardware a uma chave de acesso sincronizada. É um pouco menos conveniente (você precisa da chave física), mas ela nunca entra em uma sincronização na nuvem, o que elimina toda essa superfície de ataque para aquela conta.
  • Mantenha o próprio dispositivo limpo, pois esse é o verdadeiro campo de batalha agora. Instale prontamente as atualizações do sistema operacional e do navegador, evite instalar aplicativos ou extensões de fora das lojas oficiais e não ignore alertas do antivírus ou do endpoint — uma infecção por malware é a condição prévia para esse tipo de ataque, portanto a higiene do dispositivo cumpre uma função dupla.
  • Ative o Advanced Protection Program do Google se você for um alvo plausível (jornalistas, ativistas, executivos, administradores ou qualquer pessoa que já tenha sido alvo anteriormente). Ele torna mais rigorosas as regras de recuperação de conta e login, especificamente contra esse tipo de cenário de tomada de controle da conta.
  • Revise periodicamente a "Atividade de segurança recente" da sua conta do Google e os dispositivos conectados e remova tudo o que não reconhecer ou não usar mais — incluindo chaves de acesso sincronizadas antigas que estejam em dispositivos que você substituiu.
  • Não abandone seu método de autenticação reserva. Mantenha um método de recuperação (códigos de backup, uma segunda chave de acesso em um tipo diferente de dispositivo) que não dependa do mesmo dispositivo, para não ficar sem acesso caso precise apagar uma máquina infectada.

Em resumo: as chaves de acesso ainda são melhores do que as senhas, e "imunes ao phishing" continua sendo uma descrição precisa do que elas fazem contra o phishing remoto. O Pass-ta-key é um lembrete de que "imune ao phishing" nunca foi a mesma afirmação que "imune a um dispositivo comprometido" — e sua defesa contra a segunda ameaça é o básico e pouco empolgante: mantenha seus dispositivos atualizados, fique atento a malwares e proteja suas contas mais importantes com chaves vinculadas ao hardware, em vez de chaves sincronizadas.