Η ευπαθής φύση των passkeys αποκαλύπτεται: Μάθετε την αλήθεια πίσω από την ασφάλειά τους

Ερευνητές από την ομάδα Unit 42 της Palo Alto Networks έφεραν στο φως τρεις σοβαρές αδυναμίες του Google Password Manager, της δημοφιλούς λύσης διαχείρισης κωδικών που χρησιμοποιούμε στο Chrome και στους λογαριασμούς Google. Οι επιθέσεις, γνωστές ως Pass-ta-key, επιτρέπουν σε κακόβουλο λογισμικό που έχει ήδη εγκατασταθεί σε έναν υπολογιστή να παρακάμψει τη βιομετρική επαλήθευση, αποκτώντας πρόσβαση σε λογαριασμούς χωρίς οποιαδήποτε φυσική παρέμβαση από τον χρήστη.

Είναι σημαντικό να σημειωθεί ότι αυτές οι επιθέσεις απαιτούν άμεσα τον υπολογιστή να είναι μολυσμένος. Δεν παραβιάζεται η κρυπτογράφηση των Passkeys, αλλά εκμεταλλεύονται συγκεκριμένες αδυναμίες στη διαχείριση των συγχρονισμένων διαπιστευτηρίων από τον Chrome.

### Οι τρεις μέθοδοι

1. **Hijacking με malware**: Το κακόβουλο λογισμικό εκθέτει το κλειδί ταυτοποίησης στο δίσκο αντί στο ασφαλές περιβάλλον του TPM.

2. **Προσομοίωση βιομετρικής ταυτοποίησης**: Ο password manager μπορεί να παραπλανηθεί ότι ο χρήστης έχει ξεκλειδώσει τη συσκευή με βιομετρικά στοιχεία, επιτρέποντας στο malware να εισάγει τους δικούς του κωδικούς.

3. **Εξαγωγή του master κλειδιού**: Το Security Domain Secret (SDS) μπορεί να διαρρεύσει στα logs του Chrome, παρέχοντας στους επιτιθέμενους τη δυνατότητα να αποκρυπτογραφήσουν τα συγχρονισμένα διαπιστευτήρια.

Η έρευνα αυτή ανατρέπει την πεποίθηση ότι τα passkeys είναι άτρωτα. Ωστόσο, παραμένουν σαφώς πιο ασφαλή σε σύγκριση με τους παραδοσιακούς κωδικούς πρόσβασης, που συχνά είναι πολύ απλοί.

Διαβάστε το πλήρες άρθρο στην techmaniacs.gr.

Επιμέλεια ροής: Greca 99,4 | Ακούστε μας live εδώ.