Менеджеры паролей помогают хранить имена пользователей и связанные с ними комбинации символов, которые трудно запомнить. Альтернативой являются так называемые «passkey» или пасскейты — современные способы входа в учетные записи без необходимости вводить пароль. Эту технологию используют такие компании, как Google, Microsoft и Amazon.Изображение: нейросеть qwen Вход осуществляется с помощью отпечатка пальца или сканирования лица, при этом в фоновом режиме сравниваются секретный ключ на устройстве и открытый ключ в соответствующем онлайн-сервисе. Этот метод снижает вероятность фишинга и кражи данных. Подразделение Unit 42 консалтинговой фирмы Palo Alto Networks обнаружило новую уязвимость в системе безопасности Google Passkey, которую они назвали «Pass-ta-key». Уязвимость затрагивает только системы Windows, уже зараженные вредоносным ПО; само шифрование не затрагивается. Предпосылки для взлома системы Passkey: во-первых, использование Google Password Manager в Chrome. Во-вторых, необходимо использовать компьютер Windows с модулем доверенной платформы (TPM, обязательный для Windows 11), уже зараженный определенным вредоносным ПО. Если эти условия выполнены, Unit 42 выделяет три различных пути атаки. Исследователи безопасности назвали их Pass-ta-key, Pass-ta-key silver и Pass-ta-key gold. В первом случае вредоносное ПО выдает себя за доверенное устройство и запрашивает подтверждение входа в систему у Google, даже не привлекая внимания пользователя. Ключ не передается в TPM, как предполагалось, а хранится в другом месте. В атаке Pass-ta-key silver вредоносное ПО обманывает менеджер паролей, заставляя его поверить, что пользователь биометрически разблокировал устройство. Затем процесс проверки помечается как незавершенный на компьютере. Это позволяет вредоносному ПО зарегистрировать свои собственные ключи. С помощью метода Pass-ta-key gold злоумышленник может даже расшифровать синхронизированные пароли и таким образом полностью захватить учетную запись. Для этого требуется так называемый секретный ключ домена безопасности (SDS). Исследователи безопасности обнаружили этот ключ в логах Chrome. Google с тех пор принял меры, поэтому SDS больше там не отображается. Однако уязвимость еще не полностью устранена. По данным Unit 42, самая большая проблема с Pass-ta-key gold заключается в том, что в настоящее время ничего нельзя сделать, даже если атака обнаружена. Поэтому затронутая учетная запись больше не может быть защищена.
Источник новости: overclockers.ru
