Le passkey sincronizzate di Google Password Manager sono al centro di una nuova analisi sulla sicurezza dei dispositivi Windows. I ricercatori di Unit 42, divisione di Palo Alto Networks, hanno individuato tre modalità di attacco che sfruttano la fiducia accordata al dispositivo, le procedure di configurazione iniziale e i sistemi di recupero, senza compromettere direttamente la crittografia delle passkey.
passkey di google password manager a rischio sui pc windows
Le tecniche analizzate riguardano Chrome su computer Windows dotati di Trusted Platform Module e possono essere utilizzate soltanto quando sul dispositivo è già presente un malware. Non si tratta quindi di un attacco remoto rivolto agli account Google: è necessario che il software dannoso sia in esecuzione sul computer della vittima.
i tre attacchi individuati da unit 42
Il primo metodo, chiamato Pass-ta-key, consente al malware di autenticarsi senza attivare Windows Hello o una verifica biometrica. L’operazione è possibile sui servizi che non impongono una verifica dell’utente durante l’accesso.
silver pass-ta-key e la chiave di verifica
La seconda tecnica, denominata Silver Pass-ta-key, amplia questa possibilità attraverso la registrazione di una chiave di verifica controllata dall’attaccante. In questo modo viene superata la limitazione presente nel primo scenario. I ricercatori hanno dimostrato il funzionamento del metodo su eBay, che ha successivamente corretto la vulnerabilità dopo la segnalazione ricevuta.
golden pass-ta-key e il segreto principale
Il rischio più rilevante è associato a Golden Pass-ta-key. L’analisi ha mostrato che un aggressore può recuperare il segreto principale utilizzato per proteggere le passkey sincronizzate. Una volta ottenuto e decifrato, questo elemento permette di accedere a tutte le passkey collegate all’account.
il ruolo della memoria e dei log di chrome
Google ha eliminato dai log di debug di Chrome una delle modalità attraverso cui il segreto poteva essere individuato. Secondo Unit 42, però, il valore resta recuperabile dalla memoria durante la nuova registrazione del dispositivo. Al momento, inoltre, non esiste una procedura per modificare o revocare il segreto principale nel caso in cui venga compromesso.
la crittografia delle passkey non è stata violata
La ricerca non dimostra che le passkey siano state progettate in modo insicuro. I test hanno confermato che la crittografia ha resistito alle tecniche esaminate. Le criticità riguardano soprattutto il modo in cui vengono gestiti la fiducia nel dispositivo, la configurazione iniziale e il recupero dell’accesso.
Le passkey continuano a rappresentare un miglioramento significativo rispetto alle password. L’analisi conferma, però, che un dispositivo compromesso da un malware può esporre anche i sistemi di autenticazione più avanzati. Per questo motivo, la sicurezza dell’endpoint resta l’elemento centrale nella protezione delle credenziali sincronizzate.
Lascia un commento