Unit 42 hat drei Angriffe auf Passkeys veröffentlicht, die über Googles Passwortmanager synchronisiert werden, und die Berichterstattung war deutlich genug, um jeden zu beunruhigen, der seine Konten auf Passkeys umgestellt hat, weil sie als die sichere Option galten. Der spektakulärste der drei extrahiert alle synchronisierten Passkeys auf einmal.
Bevor Sie irgendetwas ändern, lohnt es sich, genau zu sein: Was wurde eigentlich gebrochen? Die Antwort entscheidet, ob ein Wechsel des Passwortmanagers überhaupt hilft. Er hilft nicht, und diese Seite erklärt warum.
Was die Forschung tatsächlich zeigt
Die drei Angriffe teilen sich einen Mechanismus. Auf einem bereits kompromittierten Windows-Rechner extrahiert Schadsoftware den Identitätsschlüssel und nutzt dann die Standard-Kryptografie-APIs von Windows, um Authentifizierungsanfragen genau so zu signieren, wie Chrome es täte. Nichts wird geknackt. Der Angreifer leiht sich eine Vertrauensbeziehung, die der PC bereits aufgebaut hatte.
- Pass-ta-key übernimmt ein Konto, das durch einen Google-synchronisierten Passkey geschützt ist, ohne Rechteausweitung und ohne Ihr Zutun.
- Silver Pass-ta-key täuscht Googles Cloud-Authentifikator vor, das Gerät sei per Biometrie entsperrt worden.
- Golden Pass-ta-key ist der weitreichendste: Er extrahiert alle synchronisierten Passkeys in einer Form, die geteilt oder verkauft werden kann.
Google wurde informiert, und die Schwachstellen liegen darin, wie Chrome und der Cloud-Authentifikator Gerätevertrauen, Einrichtung, Wiederherstellung und synchronisierte Zugangsdaten handhaben. Diese Korrekturen kommen über Updates, die man tatsächlich installieren muss.
Der Teil, den die meisten Artikel auslassen: Hilft ein anderer Manager?
Das ist die Frage, für die es diese Seite gibt, und die ehrliche Antwort ist unbequem: Ihre Passkeys in einen anderen Passwortmanager zu verschieben, schützt davor nicht.
Schadsoftware, die unter Ihrem Benutzerkonto läuft, erbt, was Ihr Konto darf. Sie liest, was Ihre Sitzung lesen kann. Ein entsperrter Fremdanbieter-Tresor auf demselben Desktop ist für denselben Code erreichbar, nur über andere Leitungen. Ein Tresorwechsel ändert, welche Software die Zugangsdaten hält, nicht die Tatsache, dass feindlicher Code als Sie ausgeführt wird.
Wir könnten Ihnen etwas anderes erzählen. Eine Migrationsanleitung mit Affiliate-Link am Ende würde besser konvertieren als dieser Absatz. Aber eine Empfehlung, die den Bedrohungsmodell-Test nicht übersteht, ist nichts wert, und Sie würden es auf die harte Tour erfahren.
Es gibt gute Gründe, einen eigenständigen Manager dem des Browsers vorzuziehen: Portabilität zwischen Ökosystemen, kontrolliertes Teilen, Unabhängigkeit von einem einzigen Browser und klarere Exportwege. Immunität gegen einen kompromittierten Rechner steht nicht auf dieser Liste.
Was tatsächlich etwas ändert
Ein Hardware-Sicherheitsschlüssel. Auf einem FIDO2-Schlüssel wird der private Schlüssel im Token erzeugt und verlässt es nie. Software auf dem Computer kann den Schlüssel bitten, eine Challenge zu signieren; herauskopieren kann sie ihn nicht. Das ist eine strukturelle Eigenschaft des Geräts, keine Einstellung, die man falsch setzen kann.
Genau deshalb zielen die obigen Angriffe auf synchronisierte Passkeys. Synchronisierung ist ein echter Komfortgewinn und zugleich konstruktionsbedingt ein Zugangsdatum, das an mehr als einem Ort existiert und auf einem neuen Gerät wiederhergestellt werden kann. Was wiederhergestellt werden kann, lässt sich prinzipiell auch von Code mit genügend Zugriff abziehen.
Wenn Sie den Vergleich im Detail wollen, behandeln unsere Leitfäden zu Token2 gegen YubiKey, Nitrokey gegen YubiKey und einem zweiten Schlüssel als Reserve die praktischen Abwägungen samt Preis.
Was diese Woche zu tun ist
Prüfen, ob der Rechner sauber ist. Jeder dieser Angriffe setzt bereits vorhandene Schadsoftware voraus. Unerklärliche Verlangsamungen, Browsereinstellungen, die sich von selbst ändern, Sicherheitswerkzeuge, die keine Updates mehr laden: Behandeln Sie den Scan als ersten Schritt, nicht als letzten.
Updates installieren. Chrome- und Windows-Updates sind der Weg, auf dem die Korrekturen des Herstellers bei Ihnen ankommen. Sie aufzuschieben ist die einzige Entscheidung, die Sie einer bekannten und inzwischen öffentlichen Schwäche ausgesetzt lässt.
Einen Hardwareschlüssel auf die wichtigen Konten setzen. Zuerst die E-Mail, denn sie ist der Wiederherstellungsweg für alles andere. Sie brauchen nicht für jedes Konto einen, sondern dort, wo eine Übernahme alles Weitere nach sich zöge.
Nicht aus Panik migrieren. Das ist Aufwand, der sich nach Fortschritt anfühlt und an dieser Bedrohung nichts ändert.
Was bleibt
Passkeys tun weiterhin, wofür sie gebaut wurden: Sie schlagen Phishing und die Wiederverwendung von Zugangsdaten, und keine gefälschte Anmeldeseite kann etwas Wiederverwendbares abgreifen. Was diese Forschung durchsticht, ist ein größeres Versprechen, das sie nie einlösen konnten: dass ein Zugangsdatum auf einem Rechner sicher bleibt, der es nicht ist.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Passkeys und TOTP-Codes in einem Tresor, den Sie kontrollieren → NordPassBrowserübergreifend portabel, XChaCha20-Verschlüsselung, kostenlose Stufe. Komfort und Portabilität, kein Schutz vor einem infizierten PC.→★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Ein Manager mit integrierter 2FA & Passkeys → NordPassTOTP & Passkeys speichern · XChaCha20 · Gratis-Tarif→Häufig gestellte Fragen
Sind Passkeys im Google Passwortmanager noch sicher?
Für ihren eigentlichen Zweck ja. Ein Passkey ist ein Schlüsselpaar, das an die echte Domain der Website gebunden ist: Eine gefälschte Anmeldeseite erbeutet nichts Wiederverwendbares, und es gibt kein gemeinsames Geheimnis, das eine gehackte Website preisgeben könnte. Die Forschung von Unit 42 zeigt eine andere Bedrohung: Schadsoftware, die bereits auf Ihrem Windows-Rechner läuft, kann sich die Vertrauensbeziehung ausleihen, die dieser Rechner aufgebaut hatte. Die Kryptografie ist nicht gebrochen. Was scheitert, ist die Annahme, das Gerät sei sauber.
Sollte ich meine Passkeys in einen anderen Passwortmanager verschieben?
Vor dieser Angriffsklasse schützt das nicht, und wir sagen es lieber, statt Ihnen eine Migration zu verkaufen. Schadsoftware, die unter Ihrem Benutzerkonto läuft, erreicht auch einen Manager von Drittanbietern, vor allem solange er entsperrt ist. Ein anderer Tresor ändert, welche Software die Zugangsdaten hält, nicht die Tatsache, dass feindlicher Code in Ihrem Namen ausgeführt wird. Der ehrliche Grund für einen eigenständigen Manager sind Portabilität, kontrolliertes Teilen und Unabhängigkeit von einem einzigen Browser, nicht Immunität gegen einen infizierten PC.
Was schützt einen Passkey wirklich vor Schadsoftware auf dem PC?
Ein Hardware-Sicherheitsschlüssel. Auf einem FIDO2-Schlüssel (YubiKey, Token2, Nitrokey) wird der private Schlüssel im Token erzeugt und verlässt es nie: Software auf dem Computer kann den Schlüssel zum Signieren auffordern, ihn aber nicht herauskopieren. Das ist ein struktureller Unterschied, keine Einstellung. Genau deshalb zielen diese Angriffe auf synchronisierte Passkeys, die konstruktionsbedingt an mehr als einem Ort existieren.
Was sind Pass-ta-key, Silver und Golden Pass-ta-key?
Drei von Unit 42 veröffentlichte Angriffe auf Google-synchronisierte Passkeys. Pass-ta-key übernimmt ein Konto, das durch einen solchen Passkey geschützt ist, ohne Rechteausweitung. Silver Pass-ta-key täuscht Googles Cloud-Authentifikator vor, das Gerät sei per Biometrie entsperrt worden. Golden Pass-ta-key ist der weitreichendste: Er extrahiert alle synchronisierten Passkeys auf einmal. Die Namen folgen dem Muster der Kerberos-Angriffe Silver Ticket und Golden Ticket, aus demselben Grund: Einer verschafft ein Konto, der andere den ganzen Schlüsselbund.
Muss ich sofort etwas tun?
Zwei Dinge, in dieser Reihenfolge. Erstens sicherstellen, dass der Rechner sauber ist, denn jeder dieser Angriffe setzt voraus, dass dort bereits Schadsoftware läuft: Eine Infostealer-Infektion ist die Voraussetzung, nicht die Folge. Zweitens Browser- und Systemupdates installieren, da Google informiert wurde und die Korrekturen auf diesem Weg kommen. Den Tresor panisch zu migrieren ist die einzige Maßnahme, die Mühe kostet und an Ihrer Gefährdung nichts ändert.
