Τα passkeys προωθήθηκαν ως το ασφαλέστερο μέλλον μετά τους κωδικούς πρόσβασης – όμως ερευνητές ασφαλείας ανακάλυψαν τρόπους να παραβιάσουν όσα είναι συγχρονισμένα με την Google. Τα «μη αντιγράψιμα» passkeys της Google ενδέχεται, τελικά, να κλέβονται ευκολότερα από όσο υποσχέθηκε η εταιρεία. Η τεχνολογία των passkeys υποσχέθηκε προστασία από phishing, από την επαναχρησιμοποίηση credentials και από διαρροές κωδικών – η ίδια η Google, μάλιστα, ισχυριζόταν ότι δεν μπορούν να αντιγραφούν ούτε να παραδοθούν κατά λάθος σε τρίτους.
Η μέθοδος Pass-ta-key
Ερευνητές ασφαλείας εντόπισαν τρεις τρόπους με τους οποίους κακόβουλο λογισμικό μπορεί να υπονομεύσει αυτές τις υποσχέσεις για τα passkeys που συγχρονίζονται μέσω του Google Password Manager. Οι τεχνικές αυτές, γνωστές συλλογικά ως Pass-ta-key, στοχεύουν το Google Password Manager μέσα στο Chrome, σε υπολογιστές Windows εξοπλισμένους με Trusted Platform Module (TPM).
Κρίσιμη προϋπόθεση, ωστόσο, είναι ότι κάθε επίθεση απαιτεί το κακόβουλο λογισμικό να εκτελείται ήδη στον υπολογιστή του θύματος. Πρόκειται για μια σημαντική διευκρίνιση: οι ερευνητές δεν έσπασαν την κρυπτογραφία που στηρίζει τα passkeys, αλλά εκμεταλλεύτηκαν αδυναμίες στην εμπιστοσύνη της συσκευής, στην ανάκτηση λογαριασμού, στη διαδικασία onboarding και στον τρόπο με τον οποίο οι υπηρεσίες επαληθεύουν ότι ο χρήστης πράγματι ξεκλείδωσε τη συσκευή του.
Όταν το malware υποδύεται τον υπολογιστή σας
Η πρώτη τεχνική Pass-ta-key επιτρέπει στο κακόβουλο λογισμικό να χρησιμοποιήσει την ταυτότητα συσκευής του Chrome, η οποία στηρίζεται στο TPM, ώστε να ζητήσει μια έγκυρη απόκριση passkey από τον cloud authenticator της Google.
Το ανησυχητικό είναι ότι η επίθεση αυτή δεν απαιτεί δικαιώματα διαχειριστή, βιομετρική σάρωση, PIN, ξεκλείδωμα της συσκευής ή οποιαδήποτε αλληλεπίδραση από το θύμα. Η υπηρεσία της Google αντιλαμβάνεται το αίτημα ως προερχόμενο από έναν έμπιστο υπολογιστή και επιστρέφει την απόκριση ταυτοποίησης που απαιτείται για τη σύνδεση.
Οι ιστότοποι υποτίθεται ότι πρέπει να ελέγχουν μια σήμανση που επιβεβαιώνει ότι ο χρήστης επαλήθευσε την ταυτότητά του. Οι ερευνητές διαπίστωσαν ότι το GitHub απέρριψε σωστά την επίθεση, ενώ το eBay την αποδέχθηκε, παρότι υποτίθεται ότι απαιτούσε επαλήθευση. Το eBay διόρθωσε αυτό το κενό μετά την αναφορά των ερευνητών.
Η προηγμένη επίθεση Silver Pass-ta-key
Η πιο εξελιγμένη επίθεση, γνωστή ως Silver Pass-ta-key, μπορεί να αναγκάσει το Chrome να καταχωρίσει ένα κλειδί επαλήθευσης που ελέγχεται από τον επιτιθέμενο.
Το κλειδί αυτό αντιμετωπίζεται στη συνέχεια ως απόδειξη ότι το θύμα εισήγαγε ένα PIN ή χρησιμοποίησε βιομετρικά στοιχεία, επιτρέποντας την πρόσβαση στον λογαριασμό από έναν άλλο υπολογιστή, ακόμη και αφού η αρχική συσκευή τεθεί εκτός σύνδεσης. Η επίθεση αυτή είναι ιδιαίτερα επικίνδυνη, καθώς παρακάμπτει έναν από τους θεμελιώδεις μηχανισμούς ασφαλείας που υποτίθεται ότι προστατεύουν τα passkeys.
Η χειρότερη επίθεση: κλοπή των ίδιων των κλειδιών
Η τεχνική Golden Pass-ta-key είναι, ωστόσο, η πιο ανησυχητική. Στοχεύει το master secret, το κύριο δηλαδή μυστικό που χρησιμοποιείται για την κρυπτογράφηση κάθε passkey που συγχρονίζεται μέσω ενός λογαριασμού Google.
Οι ερευνητές διαπίστωσαν αρχικά ότι το Chrome εξέθετε αυτό το μυστικό σε απλό κείμενο, μέσα από τα εσωτερικά του FIDO logs. Η Google το αφαίρεσε από τα logs μετά τη γνωστοποίηση. Παρ’ όλα αυτά, οι ερευνητές αναφέρουν ότι το κλειδί εξακολουθεί να εμφανίζεται προσωρινά μέσα στη μνήμη διεργασιών του Chrome κατά την καταχώριση ή την ανάκτηση της συσκευής. Το κακόβουλο λογισμικό μπορεί να το εξαγάγει και να αποκρυπτογραφήσει τα συγχρονισμένα passkeys του θύματος.
Το ζήτημα της μη ανακλησιμότητας
Το πιο σοβαρό στοιχείο είναι ότι το κλεμμένο master key μπορεί, σύμφωνα με τις αναφορές, να εκθέσει τόσο τα υπάρχοντα όσο και τα μελλοντικά passkeys. Οι ερευνητές προσθέτουν ότι η τρέχουσα υλοποίηση της Google δεν προσφέρει καμία μέθοδο εναλλαγής (rotation) ή ανάκλησης (revocation) αυτού του μυστικού μετά την παραβίασή του.
Αυτό σημαίνει ότι, μόλις το master key κλαπεί, ο χρήστης δεν έχει έναν απλό τρόπο να το «αλλάξει» – σε αντίθεση με έναν παραδοσιακό κωδικό πρόσβασης, ο οποίος μπορεί να αντικατασταθεί άμεσα. Η αδυναμία αυτή αναδεικνύει ένα σχεδιαστικό κενό στην υποδομή γύρω από τα passkeys.
Τι πρέπει να συγκρατήσουμε
Παρά τα ευρήματα, οφείλει να τονιστεί μια σημαντική διάσταση της υπόθεσης. Τα passkeys παραμένουν ουσιαστικά ασφαλέστερα απέναντι στο phishing και στις διαρροές κωδικών – η τεκμηρίωση της Google εξακολουθεί να περιγράφει με ακρίβεια αυτά τα πλεονεκτήματα.
Η έρευνα αυτή δεν αποδεικνύει ότι τα passkeys είναι επισφαλή αυτά καθαυτά. Αποδεικνύει, αντιθέτως, ότι κακόβουλο λογισμικό που βρίσκεται ήδη μέσα στον υπολογιστή σας μπορεί να επιτεθεί στην υποδομή που περιβάλλει το passkey, αντί για το ίδιο το passkey. Η κρίσιμη διάκριση είναι ότι η απειλή προϋποθέτει μια ήδη μολυσμένη συσκευή – γεγονός που επαναφέρει στο προσκήνιο τη σημασία της βασικής προστασίας από malware.
Το τελικό συμπέρασμα είναι διττό. Από τη μία, τα passkeys εξακολουθούν να αποτελούν σημαντική αναβάθμιση σε σχέση με τους παραδοσιακούς κωδικούς. Από την άλλη, η υπόθεση Pass-ta-key υπενθυμίζει ότι καμία τεχνολογία ασφαλείας δεν είναι απόλυτη – και ότι η ασφάλεια ενός συστήματος κρίνεται συχνά όχι από τον πυρήνα του, αλλά από τα πιο αδύναμα σημεία της υποδομής που το πλαισιώνει.
