3 min

Nový malware dokáže získat synchronizované klíče z Google Pasword Manageru a obejít přihlášení uživatele

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Ve zkratce: Výzkumníci odhalili tři útoky typu Pass-ta-key, které zneužívají zranitelnosti v Google Password Manageru na systému Windows. Malware dokáže obejít biometrické ověření, zaregistrovat vlastní...

Nový malware dokáže získat synchronizované klíče z Google Pasword Manageru a obejít přihlášení uživatele

Zdroj: ChatGPT

Ve zkratce:

Výzkumníci odhalili tři útoky typu Pass-ta-key, které zneužívají zranitelnosti v Google Password Manageru na systému Windows.
Malware dokáže obejít biometrické ověření, zaregistrovat vlastní klíče nebo získat hlavní šifrovací klíč k přístupovým údajům.
Útoky cílí na způsob, jakým Chrome a Google ověřují důvěryhodná zařízení, nikoliv na samotnou kryptografii passkeys.

Bezpečnostní výzkumníci z Palo Alto Networks odhalili tři nové útoky, které mohou zneužít přístupové klíče uložené v Google Password Manageru. Malware spuštěný na napadeném počítači s Windows dokáže obejít ověření uživatele, přihlásit útočníka k účtu a v nejhorším případě získat i soukromé kryptografické klíče.

Byla zjištěna zranitelnost v Google Password Manageru

Útoky nesou souhrnný název Pass-ta-key a cílí na Chrome pro Windows, zařízení s čipem TPM a cloudovou infrastrukturu Googlu. Neprolamují samotnou kryptografii passkeys. Pouze dokážou zneužít způsob, jakým Chrome a Google ověřují důvěryhodná zařízení, obnovu účtu a registraci nových klíčů.

První technika, která nese označení Pass-ta-key, umožňuje malwaru zneužít klíč zařízení chráněný čipem TPM. Malware podepíše požadavek pro cloudový autentizátor Googlu, který jej následně vyhodnotí jako komunikaci z legitimního zdroje. Útok nepotřebuje oprávnění správce, biometrické ověření ani zadání PINu. Google vrátí podepsanou odpověď, kterou lze použít k přihlášení. Úspěch ale závisí na tom, zda cílová služba správně kontroluje příznak User Verified. GitHub útok zastavil, protože ověření kontroloval správně. Naproti tomu u webu eBay byl útok úspěšný. Po upozornění byla chyba ze strany eBay opravena.

Silver Pass-ta-key obejde i správnou kontrolu

Druhá technika, označena jako Silver Pass-ta-key, umožňuje útočníkovi zaregistrovat vlastní ověřovací klíč. Malware nejprve donutí Chrome znovu zaregistrovat zařízení, například odstraněním místního souboru s údaji o přístupových klíčích. Při nové registraci může útočník vložit vlastní klíč, protože cloudový autentizátor nekontroluje, zda skutečně vznikl v důvěryhodném hardwaru.

Zdroj: Beepingcomputer

Google pak požadavky podepsané tímto klíčem přijímá jako důkaz, že uživatel zařízení odemkl pomocí PINu nebo biometrie. Útočník se tak dostane i ke službám, které ověření kontrolují správně, a později se může přihlašovat z jiného počítače.

Třetí, nejsofistikovanější typ útoku získá hlavní šifrovací klíč

Nejzávažnější útok, který nese označení Golden Pass-ta-key, umožňuje získat hlavní klíč, kterým Google Password Manager šifruje synchronizované přístupové klíče. Google jej označuje jako security domain secret. Chrome tento klíč dočasně obdrží při registraci nebo obnově zařízení. Výzkumníci původně zjistili, že se objevoval v interních FIDO záznamech. Google jej z logů odstranil, údajně ale zůstává dočasně dostupný v paměti procesu Chrome.

Malware může vynutit novou registraci zařízení, klíč v paměti najít a následně s jeho pomocí dešifrovat synchronizované záznamy. Útočník tak získá soukromé klíče a může se za oběť přihlašovat z jiného systému. Experti navíc varují, že stejný hlavní klíč může sloužit i k dešifrování budoucích přístupových klíčů. Současná implementace Googlu údajně nenabízí snadný způsob, jak jej změnit nebo zneplatnit.

I nadále však passkeys zůstávají bezpečnější než hesla

Společnost Unit 42 zdůrazňuje, že přístupové klíče jsou stále výrazně bezpečnější než klasická hesla. Nové útoky ale ukazují, že nechrání před malwarem, který už běží přímo v zařízení. Poskytovatelé webových služeb by proto měli důsledně kontrolovat způsoby ověření uživatele. Správci přihlašovacích údajů zase musí lépe chránit registraci zařízení, obnovu účtu a hlavní šifrovací klíče.

Všechny nalezené chyby bezpečnostní experti oznámili Googlu i dotčeným službám před zveřejněním studie, nicméně zatím není známo, zdali Google všechny zjištěné chyby opravil. Jak již ale bylo uvedeno, nebezpečí se týká zařízení s Windows která již byla inkriminovaným malwarem infikována, a tím pádem je možné zranitelnost zneužít k útoku.

Zdroje: techradar.com, bleepingcomputer.com

Reklama

Další články z Dotekomanie.cz

První dojmy Anker Soundcore Space 2 – komfortní ANC společník

Výbava pro školáky: O2 nabízí slevy na vybraná zařízení až do konce září

Polovina velmi teplého léta je za námi a pomalinku se blíží začátek školního roku, což mnohé společnosti...

Apple čelí hromadné žalobě kvůli rozpoznávání obličejů, ve hře je pokuta až 32,5 miliardy dolarů

Dlouholetý spor kolem funkce Lidé v aplikaci Fotky od Applu se posunul dál. Soud žalobu uznal jako...

Xiaomi uvádí globální Redmi 17 a 17 5G s obří kapacitou baterie 7500 mAh

Xiaomi patří mezi ty výrobce, kteří dokážou udělat pořádný zmatek v představování novinek, jelikož jeden...

Rekord na trhu smartphonů: Téměř každý třetí prodaný mobil je dnes vlajková loď

V poslední době se objevuje mnoho analýz poukazujících na slábnutí trhu se smartphony, přičemž společným...

Tento článek byl publikován ze zdrojů Dotekomanie.cz

Dotekomanie.cz je nezávislý magazín zaměřený na mobilní technologie, chytrá zařízení a digitální svět. Přináší aktuální novinky, recenze, návody a komentáře ze světa smartphonů, tabletů, aplikací, Androidu, Applu, umělé inteligence i dalších technologií, které ovlivňují každodenní používání...

Nový malware dokáže získat synchronizované klíče z Google Pasword Manageru a obejít přihlášení uživatele

V Rusku rychle přibývá dětských „teroristů“. Nejmladšímu je sotva 14 let

Obří „moucha" nad zálivem a podivný trojúhelník. Pentagon zveřejnil další dokumenty o UFO

Kvůli lásce k cizinci opustila Linda svůj život i zemi. Marocká pohádka se brzy změnila v noční můru

Šílený Ivan u skotských břehů: Utajená srážka americké a sovětské jaderné ponorky

Jaromír Soukup skončil po útoku v nemocnici. Útočníci měli použít pálku