Ako ste uključili pristupne ključeve za svoj Google nalog, verovatno ste čuli tu priču: nema lozinke koju treba unositi, nema ničega što može da se ukrade fišingom, nema ničega što sedi u bazi podataka i čeka da procure podaci. Ta priča je uglavnom tačna. Ali istraživači su sada opisali tehniku — prozvanu „Pass-ta-key“ — koja pokazuje da malver na vašem uređaju ipak može da dođe do pristupnih ključeva sačuvanih u Google Password Manageru. Vredi tačno razumeti šta to znači, a šta ne znači, jer rešenje nije „prestanite da koristite pristupne ključeve“.

Kratko podsećanje na to kako pristupni ključevi zapravo funkcionišu

Pristupni ključ je par ključeva, a ne tajna koju unosite. Privatni deo ne bi trebalo nikada da napusti vaš uređaj; veb-sajt ili aplikacija vide samo javni deo i potpis koji dokazuje da posedujete privatni ključ. Zbog toga su pristupni ključevi otporni na klasični fišing — ne postoji lozinka ili jednokratni kôd koji lažna stranica za prijavljivanje može da ukrade, jer privatni ključ nije nešto što možete biti navedeni da bilo gde unesete.

Caka je u reči „sinhronizovani“. Da bi pristupni ključ radio na vašem telefonu, laptopu i tabletu, Google Password Manager šifruje i sinhronizuje vaše pristupne ključeve preko Google naloga, umesto da svaki od njih veže za jedan fizički uređaj. Ta pogodnost takođe predstavlja veću površinu za napad nego pristupni ključ koji je fizički vezan za jedan bezbednosni ključ ili jedan uređaj.

Na šta istraživanje Pass-ta-key zapravo ukazuje

Prema izveštajima o ovom istraživanju (preko Malwarebytesa), otkriće je da malver koji radi na uređaju na kom je Google Password Manager otključan može da preuzme naloge zaštićene pristupnim ključem — ne tako što razbija osnovnu kriptografiju javnog ključa, već zloupotrebom softverskog sloja koji čuva, otključava i sinhronizuje ključeve. Drugim rečima: matematika iza pristupnih ključeva nije probijena. Na meti je sve oko te matematike — lokalni sef, tok otključavanja, kanal za sinhronizaciju.

Precizni tehnički mehanizmi lanca eksploatacije nisu u potpunosti opisani u onome što je do sada javno dostupno, pa treba biti oprezan i ne preuveličavati ovo do tvrdnje „pristupni ključevi su probijeni“. Ono što je jasno, i u skladu s uobičajenim načinom funkcionisanja ovakvih stvari, jeste opšti oblik rizika: ako malver ostvari dovoljno visok nivo pristupa na uređaju na kom je skladište pristupnih ključeva otključano, potencijalno može da deluje u vaše ime unutar tog skladišta ili da izveze materijal koji napadaču omogućava da se drugde autentifikuje kao vi.

Zašto ovo ne poništava argumente u korist pristupnih ključeva

Primamljivo je ovakav naslov protumačiti kao „pristupni ključevi su podbacili“. Nisu — oni su zatvorili jedan specifičan, izuzetno čest napad: daljinski fišing, pri kom vas napadač bilo gde u svetu navede da unesete lozinku ili jednokratni kôd na lažnom sajtu. Taj napad i dalje ne funkcioniše protiv pravog pristupnog ključa. Ono što Pass-ta-key pokazuje jeste drugačiji, stariji model pretnje: napadač koji već ima kôd koji radi na vašem uređaju. Ta pretnja je oduvek postojala, a za lozinke je verovatno bila još gora — kljũčač ili kradljivac informacija na zaraženom računaru mogao je podjednako lako da preuzme unetu lozinku i kolačić sesije. Pristupni ključevi sužavaju površinu za napad; ne uklanjaju kategoriju „vaš uređaj je kompromitovan“.

Šta zapravo treba proveriti i uraditi

Nekoliko konkretnih koraka koje možete proveriti, približno redom prema uticaju:

  • Saznajte koji su vaši pristupni ključevi sinhronizovani, a koji su vezani za uređaj. U Google Password Manageru (passwords.google.com, u odeljku „Passkeys“) možete videti šta je sačuvano i sinhronizovano s vašim nalogom. Pristupni ključ kreiran i potvrđen pomoću fizičkog bezbednosnog ključa (kao što je YubiKey), koji niste sinhronizovali, vezan je za taj hardver i nije izložen ovoj vrsti napada na isti način.
  • Za naloge od najveće važnosti — primarni imejl, banku, poslovni jedinstveni sistem prijavljivanja — prednost dajte hardverskom bezbednosnom ključu u odnosu na sinhronizovani pristupni ključ. Nešto je manje praktičan (potreban vam je fizički ključ), ali uopšte ne koristi sinhronizaciju u oblaku, čime se za taj nalog uklanja cela ova površina za napad.
  • Održavajte sam uređaj čistim, jer je on sada pravo poprište borbe. Pravovremeno instalirajte ažuriranja operativnog sistema i pregledača, izbegavajte instaliranje aplikacija ili ekstenzija izvan zvaničnih prodavnica i nemojte ignorisati upozorenja antivirusa ili sistema za zaštitu krajnjih tačaka — zaraza malverom je preduslov za ovakav napad, pa higijena uređaja ima dvostruku ulogu.
  • Uključite Googleov Program napredne zaštite ako ste verovatna meta (novinari, aktivisti, rukovodioci, administratori ili bilo ko ko je ranije bio meta napada). On pooštrava pravila za oporavak naloga i prijavljivanje, posebno protiv ovakvog scenarija preuzimanja naloga.
  • Povremeno pregledajte „Nedavne bezbednosne aktivnosti“ na svom Google nalogu i povezane uređaje i uklonite sve što ne prepoznajete ili više ne koristite — uključujući stare sinhronizovane pristupne ključeve koji se nalaze na uređajima koje ste u međuvremenu zamenili.
  • Nemojte odbaciti rezervni način autentifikacije. Zadržite metod oporavka (rezervne kodove, drugi pristupni ključ na drugoj vrsti uređaja) koji ne zavisi od istog uređaja, kako ne biste ostali zaključani ako ipak budete morali da obrišete zaraženi računar.

Ukratko: pristupni ključevi su i dalje bolji od lozinki, a „nemoguć za fišing“ i dalje je tačan opis onoga što pružaju protiv daljinskog fišinga. Pass-ta-key je podsetnik da „nemoguć za fišing“ nikada nije značilo isto što i „otporan na kompromitovani uređaj“ — a odbrana od ovog drugog je dosadna rutina: ažurirajte uređaje, pazite na malver i najvažnije naloge zaštitite ključevima vezanim za hardver, a ne sinhronizovanim ključevima.