- Výzkumný tým Unit 42 z Palo Alto Networks zkoumal bezpečnost passkeys
- Ty sice z pohledu kryptografie obstály, nicméně výzkumníci našli jiné způsoby, jak je obejít
- Ve své práci popsali hned tři možné cesty s využitím malwaru
Bezpečnost na internetu je velké téma nejen pro firmy a nadnárodní korporace, ale i pro běžné uživatele, ostatně nikdo z nás patrně nechce, aby mu zlotřilý hacker ukradnul jeho identitu či získal přístup někam, kam nechcete. Kromě tradičních způsobů ochrany, jako jsou dlouhá a komplikovaná hesla či dvoufázové ověřování se v poslední době začaly šířit takzvané passkeys, které slibují vysokou míru ochrany založené na biometrických datech bez nutnosti pamatovat si komplikovaná hesla. Ani tento způsob přihlašování nicméně není zcela bez rizika.
ℹ️ Stačí jeden klik! Přidejte si nás mezi mezi preferované weby, případně nás sledujte v Google Zprávách, nebo na Seznam.cz
Prolomit passkeys se nepodařilo, lze je ale obejít
Podle nového výzkumu od Palo Alto Networks’ Unit 42 je pochopení toho, před čím vás passkeys nechrání, stejně důležité jako pochopení toho, před čím vás chrání. Výzkumní pracovníci objevili tři způsoby, jakými může malware na napadených počítačích s Windows zneužít správce hesel od Googlu a jeho synchronizované passkeys, a to konkrétně tím, že zneužívají slabiny v systému, než že by prolomili samotné šifrování. Nutno podotknout, že každý útok vyžaduje aktivní malware na počítači oběti.
Co to jsou passkeys?
Passkeys jsou považovány za moderní způsob přihlašování, který nahrazuje klasická hesla bezpečnější a pohodlnější alternativou. Místo zadávání řetězce znaků využívají princip asymetrické kryptografie, tedy dvojici klíčů: soukromý a veřejný. Soukromý klíč zůstává uložen pouze ve vašem zařízení (například v iPhonu, Androidu či počítači) a nikdy ho neopouští. Veřejný klíč se naopak uloží na server služby, ke které se přihlašujete. Při přihlášení pak systém ověří, že soukromý klíč odpovídá tomu veřejnému, a to bez potřeby zadávat heslo.
K ověření identity se používá biometrie (Face ID, Touch ID nebo otisk prstu v Androidu) či bezpečnostní PIN, takže přihlášení je nejen rychlejší, ale i odolné vůči phishingu – útočník nemůže získat vaše heslo, protože žádné neexistuje. Passkeys fungují napříč platformami díky standardu FIDO2 a WebAuthn a lze je bezpečně synchronizovat mezi zařízeními (například přes iCloud Keychain nebo Google Password Manager).
Výzkum se zaměřuje na synchronizované passkeys služby Google Password Manager v prohlížeči Chrome na zařízeních se systémem Windows vybavených modulem TPM (Trusted Platform Module), nejedná se tedy o vzdálený exploit proti účtům Google. První typ útoku s názvem Pass-ta-key umožňuje malwaru provést ověření, aniž by se spustila funkce Windows Hello nebo biometrické ověření, avšak pouze u služeb, které striktně nevyžadují ověření uživatele. Druhý útok Silver Pass-ta-key jde ještě dál a registruje ověřovací klíč ovládaný útočníkem. Nejvíce znepokojivý je ale Golden Pass-ta-key, který umožňuje získat hlavní klíč chránící synchronizované passkeys, což jim umožní dešifrovat každý passkey spojený s daným účtem.
Google už proti jedné z těchto zranitelností zakročil, konkrétně odstraněním tajného klíče z debugových záznamů, nicméně Unite 42 tvrdí, že jej lze stále získat z paměti během opětovné registrace zařízení. Zpráva rovněž uvádí, že v současné době neexistuje žádný způsob, jak tento hlavní klíč obměnit nebo zrušit v případě, že dojde k jeho prozrazení. Neznamená to ovšem, že by passkeys nebyly bezpečným způsobem pro přihlašování – samotné šifrování obstálo bez ztráty kytičky. Je ovšem nutné i při používání passkeys být obezřetný před možnými hrozbami.
Dominik Vlasák
Další dnešní články
