Unit 42 ha divulgato tre attacchi contro le passkey sincronizzate tramite il gestore password di Google, e la copertura è stata abbastanza netta da preoccupare chiunque abbia spostato i propri account sulle passkey perché venivano presentate come l'opzione sicura. Il più impressionante dei tre estrae tutte le passkey sincronizzate in una volta.
Prima di cambiare qualcosa conviene essere precisi su cosa sia stato violato, perché la risposta decide se cambiare gestore ti serva a qualcosa. Non serve, e questa pagina spiega perché.
Cosa mostra davvero la ricerca
I tre attacchi condividono un meccanismo. Su una macchina Windows già compromessa, il malware estrae la chiave di identità e poi usa le API crittografiche standard di Windows per firmare le richieste di autenticazione esattamente come farebbe Chrome. Nulla viene forzato. L'attaccante prende in prestito una relazione di fiducia che il PC aveva già stabilito.
- Pass-ta-key prende il controllo di un account protetto da una passkey sincronizzata di Google, senza scalata di privilegi né interazione da parte tua.
- Silver Pass-ta-key inganna l'autenticatore cloud di Google facendogli credere che il dispositivo sia stato sbloccato con la biometria.
- Golden Pass-ta-key è il più ampio: estrae tutte le passkey sincronizzate, in una forma che può essere condivisa o venduta.
Google è stata avvisata e le debolezze riguardano il modo in cui Chrome e l'autenticatore cloud gestiscono la fiducia nel dispositivo, la registrazione, il recupero e le credenziali sincronizzate. Quelle correzioni arrivano con aggiornamenti che vanno davvero installati.
La parte che quasi nessuno racconta: un altro gestore aiuta?
È la domanda per cui questo sito esiste, e la risposta onesta è scomoda: spostare le passkey su un altro gestore di password non ti protegge da questo.
Un malware che gira con il tuo account utente eredita ciò che il tuo account può fare. Legge ciò che la tua sessione può leggere. Una cassaforte di terze parti sbloccata sullo stesso desktop è raggiungibile dallo stesso codice, attraverso tubature diverse. Cambiare cassaforte cambia quale software custodisce la credenziale, non il fatto che del codice ostile venga eseguito a tuo nome.
Potremmo dirti il contrario. Una guida alla migrazione con un link di affiliazione in fondo convertirebbe meglio di questo paragrafo. Ma una raccomandazione che non regge al modello di minaccia non vale nulla, e lo scopriresti a tue spese.
Ci sono buone ragioni per preferire un gestore dedicato a quello del browser: portabilità tra ecosistemi, condivisione controllata, indipendenza da un solo browser e percorsi di esportazione più chiari. L'immunità da una macchina compromessa non è tra queste.
Cosa cambia davvero l'esito
Una chiave di sicurezza hardware. Su una chiave FIDO2 la chiave privata viene generata dentro il token e non ne esce mai. Il software del computer può chiedere alla chiave di firmare una sfida; non può copiarne la chiave. È una proprietà strutturale del dispositivo, non una configurazione che si possa sbagliare.
È esattamente per questo che gli attacchi qui sopra prendono di mira le passkey sincronizzate. La sincronizzazione è una comodità reale ed è anche, per progettazione, una credenziale che esiste in più di un posto e può essere ripristinata su un nuovo dispositivo. Ciò che può essere ripristinato può, in linea di principio, essere esfiltrato da codice con abbastanza accesso.
Se vuoi il confronto in dettaglio, le nostre guide su Token2 contro YubiKey, Nitrokey contro YubiKey e tenere una seconda chiave di riserva coprono i compromessi pratici, prezzo incluso.
Cosa fare questa settimana
Verificare che la macchina sia pulita. Ognuno di questi attacchi presuppone malware già presente. Rallentamenti inspiegabili, impostazioni del browser che cambiano da sole, strumenti di sicurezza che smettono di aggiornarsi: tratta la scansione come il primo passo, non l'ultimo.
Installare gli aggiornamenti. Quelli di Chrome e Windows sono la strada con cui le correzioni del produttore ti raggiungono. Rimandarli è l'unica decisione che ti lascia esposto a una debolezza nota e ormai pubblica.
Mettere una chiave hardware sugli account che contano. Prima l'email, perché è la via di recupero di tutto il resto. Non ne serve una per ogni account, ma per quelli la cui compromissione trascinerebbe gli altri.
Non migrare nel panico. È fatica che sembra progresso e non cambia nulla di questa minaccia.
Cosa ricordare
Le passkey continuano a fare ciò per cui sono state costruite: battono il phishing e il riuso delle credenziali, e nessuna finta pagina di accesso può catturare qualcosa di riutilizzabile. Ciò che questa ricerca buca è una promessa più ampia che non hanno mai potuto mantenere: che una credenziale possa restare al sicuro su una macchina che non lo è.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Passkey e codici TOTP in una cassaforte che controlli tu → NordPassPortabile tra browser, cifratura XChaCha20, piano gratuito. Comodità e portabilità, non protezione da un PC infetto.→★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Un gestore con 2FA e passkey integrate → NordPassSalva TOTP e passkey · XChaCha20 · piano gratuito→Domande frequenti
Le passkey salvate nel gestore di Google sono ancora sicure?
Per ciò a cui servono, sì. Una passkey è una coppia di chiavi legata al dominio reale del sito: una finta pagina di accesso non cattura nulla di riutilizzabile e non esiste un segreto condiviso che un sito violato possa far trapelare. La ricerca di Unit 42 mostra una minaccia diversa: un software malevolo già in esecuzione sulla tua macchina Windows può prendere in prestito la relazione di fiducia che quel computer aveva stabilito. La crittografia non è stata violata. A cadere è il presupposto che il dispositivo sia pulito.
Conviene spostare le passkey su un altro gestore di password?
Non ti salverà da questa classe di attacchi, e preferiamo dirlo piuttosto che venderti una migrazione. Un malware in esecuzione con il tuo account utente raggiunge anche un gestore di terze parti, soprattutto mentre è sbloccato. Cambiare cassaforte cambia quale software custodisce la credenziale, non il fatto che del codice ostile giri a tuo nome. Il motivo onesto per scegliere un gestore dedicato è la portabilità, la condivisione controllata e non dipendere da un solo browser, non l'immunità da un PC infetto.
Cosa protegge davvero una passkey dal malware sul PC?
Una chiave di sicurezza hardware. Su una chiave FIDO2 (YubiKey, Token2, Nitrokey) la chiave privata viene generata dentro il token e non ne esce mai: il software del computer può chiedere alla chiave di firmare, ma non può copiarla fuori. È una differenza strutturale, non un'impostazione. Ed è anche il motivo per cui questi attacchi prendono di mira le passkey sincronizzate, che per progettazione esistono in più di un posto.
Cosa sono Pass-ta-key, Silver e Golden Pass-ta-key?
Tre attacchi divulgati da Unit 42 contro le passkey sincronizzate da Google. Pass-ta-key prende il controllo di un account protetto da una passkey di questo tipo, senza scalata di privilegi. Silver Pass-ta-key inganna l'autenticatore cloud di Google facendogli credere che il dispositivo sia stato sbloccato con la biometria. Golden Pass-ta-key è il più ampio: estrae in un colpo solo tutte le passkey sincronizzate. I nomi seguono lo schema degli attacchi Kerberos silver ticket e golden ticket, per lo stesso motivo: uno dà un account, l'altro dà il portachiavi.
C'è qualcosa da fare subito?
Due cose, in quest'ordine. Prima assicurarsi che la macchina sia pulita, perché ognuno di questi attacchi presuppone che vi sia già in esecuzione un malware: un'infezione da infostealer è il prerequisito, non la conseguenza. Poi installare gli aggiornamenti del browser e del sistema, dato che Google è stata avvisata e le correzioni passano di lì. Migrare la cassaforte nel panico è l'unica mossa che costa fatica senza cambiare la tua esposizione.
