Nếu bạn đã bật khóa truy cập cho tài khoản Google của mình, có lẽ bạn đã nghe qua lời quảng bá: không cần nhập mật khẩu, không có gì để đánh cắp qua lừa đảo, không có gì nằm trong cơ sở dữ liệu chờ bị rò rỉ. Lời quảng bá đó phần lớn là đúng. Nhưng giờ đây, các nhà nghiên cứu đã mô tả một kỹ thuật — có biệt danh là "Pass-ta-key" — cho thấy phần mềm độc hại trên chính thiết bị của bạn vẫn có thể truy cập các khóa truy cập được lưu trong Google Password Manager. Bạn nên hiểu chính xác điều đó có ý nghĩa gì và không có ý nghĩa gì, bởi cách khắc phục không phải là "ngừng sử dụng khóa truy cập."

Ôn nhanh cách khóa truy cập thực sự hoạt động

Khóa truy cập là một cặp khóa, không phải một bí mật mà bạn nhập vào. Phần khóa riêng tư được cho là không bao giờ rời khỏi thiết bị của bạn; trang web hoặc ứng dụng chỉ nhìn thấy phần khóa công khai và chữ ký chứng minh rằng bạn đang nắm giữ khóa riêng tư. Chính điều đó khiến khóa truy cập có khả năng chống lừa đảo kiểu truyền thống — không có mật khẩu hay mã dùng một lần để trang đăng nhập giả đánh cắp, vì khóa riêng tư không phải thứ mà bạn có thể bị lừa để nhập vào bất cứ đâu.

Điểm cần lưu ý nằm ở từ "đồng bộ hóa." Để cho phép một khóa truy cập hoạt động trên điện thoại, máy tính xách tay và máy tính bảng của bạn, Google Password Manager mã hóa và đồng bộ hóa các khóa truy cập thông qua tài khoản Google của bạn, thay vì khóa mỗi khóa vào một thiết bị vật lý duy nhất. Sự tiện lợi đó cũng tạo ra bề mặt tấn công lớn hơn so với một khóa truy cập được gắn vật lý vào một khóa bảo mật hoặc một thiết bị duy nhất.

Nghiên cứu Pass-ta-key thực sự chỉ ra điều gì

Theo các bài đưa tin về nghiên cứu này (thông qua Malwarebytes), phát hiện đó là phần mềm độc hại đang chạy trên một thiết bị mà Google Password Manager đã được mở khóa có thể chiếm quyền kiểm soát các tài khoản được bảo vệ bằng khóa truy cập — không phải bằng cách phá vỡ mật mã khóa công khai nền tảng, mà bằng cách lạm dụng lớp phần mềm lưu trữ, mở khóa và đồng bộ hóa các khóa. Nói cách khác: phần toán học đằng sau khóa truy cập chưa bị bẻ khóa. Thứ đang bị nhắm đến là mọi thứ xung quanh phần toán học — kho lưu trữ cục bộ, quy trình mở khóa, kênh đồng bộ hóa.

Các cơ chế kỹ thuật chính xác của chuỗi khai thác chưa được trình bày đầy đủ trong những thông tin công khai cho đến nay, vì vậy cần thận trọng để không nói quá thành "khóa truy cập đã bị phá." Điều rõ ràng, và phù hợp với cách những sự việc như thế này thường diễn ra, là hình dạng chung của rủi ro: nếu phần mềm độc hại đạt được mức truy cập đủ cao trên một thiết bị có kho lưu trữ khóa truy cập đã mở khóa, nó có khả năng hoạt động dưới danh nghĩa của bạn trong kho lưu trữ đó, hoặc xuất dữ liệu cho phép kẻ tấn công xác thực với tư cách bạn ở nơi khác.

Vì sao điều này không làm mất đi lý do nên dùng khóa truy cập

Bạn rất dễ đọc một tiêu đề như thế này thành "khóa truy cập đã thất bại." Nhưng không phải vậy — chúng đã chặn một cuộc tấn công cụ thể và cực kỳ phổ biến: lừa đảo từ xa, trong đó kẻ tấn công ở bất cứ đâu trên thế giới lừa bạn nhập mật khẩu hoặc mã dùng một lần vào một trang web giả mạo. Cuộc tấn công đó vẫn vô hiệu trước một khóa truy cập thực sự. Điều Pass-ta-key minh họa là một mô hình mối đe dọa khác, cũ hơn: kẻ tấn công đã có mã chạy trên thiết bị của bạn. Mối đe dọa đó vốn luôn tồn tại, và xét trên phương diện nào đó còn tệ hơn đối với mật khẩu — một trình ghi phím hoặc phần mềm đánh cắp thông tin trên máy bị nhiễm có thể lấy mật khẩu bạn nhập và cookie phiên dễ dàng như nhau. Khóa truy cập thu hẹp bề mặt tấn công; chúng không loại bỏ phạm trù "thiết bị của bạn bị xâm nhập."

Thực sự cần kiểm tra và làm gì

Một số bước cụ thể, có thể kiểm tra, được sắp xếp tương đối theo mức độ tác động:

  • Biết những khóa truy cập nào của bạn được đồng bộ hóa và khóa nào được gắn với thiết bị. Trong Google Password Manager (passwords.google.com, bên dưới mục "Khóa truy cập"), bạn có thể xem những gì đang được lưu trữ và đồng bộ hóa với tài khoản của mình. Một khóa truy cập được tạo và xác nhận bằng khóa bảo mật vật lý (như YubiKey) mà bạn không đồng bộ hóa sẽ được gắn với phần cứng đó và không chịu cùng kiểu phơi nhiễm trước loại tấn công này.
  • Đối với những tài khoản có giá trị cao nhất — email chính, ngân hàng, hệ thống đăng nhập một lần của công việc — hãy ưu tiên dùng khóa bảo mật phần cứng thay vì khóa truy cập được đồng bộ hóa. Việc này kém tiện lợi hơn một chút (bạn cần có khóa vật lý), nhưng khóa không bao giờ chạm tới tính năng đồng bộ hóa đám mây, qua đó loại bỏ toàn bộ bề mặt tấn công này đối với tài khoản đó.
  • Giữ cho chính thiết bị luôn sạch, vì đó mới là chiến trường thực sự hiện nay. Cài đặt kịp thời các bản cập nhật hệ điều hành và trình duyệt, tránh cài ứng dụng hoặc tiện ích mở rộng từ bên ngoài các cửa hàng chính thức, và đừng bỏ qua cảnh báo của phần mềm diệt virus/hệ thống bảo vệ thiết bị đầu cuối — nhiễm phần mềm độc hại là điều kiện tiên quyết cho kiểu tấn công này, vì vậy vệ sinh thiết bị giúp bảo vệ theo cả hai mặt.
  • Hãy bật Chương trình Bảo vệ Nâng cao của Google nếu bạn là một mục tiêu có khả năng bị nhắm đến (nhà báo, nhà hoạt động, lãnh đạo doanh nghiệp, quản trị viên hoặc bất kỳ ai từng bị nhắm đến trước đây). Chương trình này siết chặt các quy tắc khôi phục tài khoản và đăng nhập, đặc biệt để chống lại kiểu kịch bản chiếm quyền kiểm soát tài khoản này.
  • Định kỳ xem lại mục "Hoạt động bảo mật gần đây" trong tài khoản Google và các thiết bị đã kết nối, đồng thời xóa mọi thứ bạn không nhận ra hoặc không còn sử dụng — bao gồm cả những khóa truy cập cũ đã đồng bộ hóa vẫn nằm trên các thiết bị mà bạn đã thay thế.
  • Đừng loại bỏ phương thức xác thực dự phòng. Hãy giữ một phương thức khôi phục (mã dự phòng, một khóa truy cập thứ hai trên loại thiết bị khác) không phụ thuộc vào cùng một thiết bị, để bạn không bị khóa ngoài nếu thực sự phải xóa sạch một máy đã nhiễm.

Tóm lại: khóa truy cập vẫn tốt hơn mật khẩu, và "không thể lừa đảo" vẫn là cách diễn đạt chính xác về khả năng của chúng trước lừa đảo từ xa. Pass-ta-key nhắc nhở rằng "không thể lừa đảo" chưa bao giờ đồng nghĩa với "miễn nhiễm trước một thiết bị bị xâm nhập" — và cách phòng vệ trước trường hợp thứ hai là những việc nhàm chán: cập nhật thiết bị, cảnh giác với phần mềm độc hại, và bảo vệ các tài khoản quan trọng nhất bằng khóa gắn với phần cứng thay vì khóa được đồng bộ hóa.