Passkeys (ключи доступа) активно продвигают как более удобную и безопасную замену паролям. Они хранятся на устройстве пользователя и подтверждаются PIN-кодом или биометрией, поэтому на серверах злоумышленникам просто нечего красть. Однако исследователи из Unit 42 показали, что даже эта технология не лишена уязвимостей — по крайней мере, в реализации Google Chrome.
Команда обнаружила три метода, с помощью которых вредоносное ПО, уже работающее на компьютере жертвы, может получить доступ к данным passkeys. Самый опасный из них позволяет полностью скомпрометировать хранилище passkeys Google и получить удалённый доступ ко всем аккаунтам, защищённым этой технологией.
Как работают атаки
Все три способа требуют, чтобы на устройстве уже был запущен malware. Повышение привилегий или обход многофакторной аутентификации не нужны.
Первый метод, названный Pass-ta-key, предполагает живой удалённый доступ к компьютеру. Злоумышленник считывает синхронизированные записи passkeys с диска или из памяти Chrome и имитирует процесс расшифровки Google, обманывая облачный аутентификатор.
Более опасный вариант — удаление определённого файла в Chrome. Это заставляет облако заново аутентифицировать устройство. После этого атакующий может выпустить новый ключ и получить доступ ко всем аккаунтам жертвы уже со своей машины. Живой доступ в реальном времени здесь не обязателен.
Третий, самый серьёзный метод позволяет перехватить мастер-ключ. Для этого вредоносное ПО провоцирует повторную процедуру регистрации passkeys и в короткий момент, когда мастер-ключ появляется в памяти Chrome в открытом виде, перехватывает его. После этого злоумышленник получает полный контроль над хранилищем.
Что это значит
Passkeys действительно убирают классическую проблему слабых и повторяющихся паролей. Однако исследование Unit 42 показывает: если на устройстве уже есть malware, защита может быть обойдена. Особенно уязвимым оказалось то, как Chrome хранит данные в памяти и на диске.
Исследователи уже сообщили о находках Google. В качестве рекомендаций они советуют разработчикам систем аутентификации внимательнее отслеживать необычное использование passkeys, усиливать защиту на этапе первоначальной регистрации и ограничивать доступ к локальным файлам с ключами.
Пока атаки требуют предварительного заражения компьютера, поэтому обычные меры защиты — антивирус, осторожность с файлами и обновления — по-прежнему остаются важными. Тем не менее история напоминает: даже самые современные методы аутентификации нужно постоянно проверять на прочность.
