Nuovi attacchi sfruttano passkey di Google per rubare credenziali

Un gruppo di ricercatori ha scoperto nuovi attacchi, denominati “Pass-ta-key”, che permettono a malware già installato su dispositivi compromessi di sfruttare le credenziali di Google Password Manager per prendere il controllo di account online, bypassare la verifica dell’utente e recuperare le chiavi private dei passkey. L’attacco, rivelato da Unit 42, dimostra che anche i passkey, considerati più sicuri dei password tradizionali, non sono immuni ai rischi derivanti da malware già presente sul dispositivo. I ricercatori hanno segnalato le vulnerabilità a Google, ma non è ancora chiaro se siano state completamente risolte.

Passkey: una soluzione più sicura, ma non invulnerabile

Passkey è un metodo di autenticazione senza password che utilizza chiavi criptografiche memorizzate sul dispositivo dell’utente per accedere a account online. Queste chiavi non possono essere condivise, copiate, scritte o accidentalmente consegnate a terzi, rendendole più resistenti al phishing e alla furtura. Tuttavia, i nuovi attacchi dimostrano che, se un malware è già presente sul dispositivo, può sfruttare le debolezze del sistema per ottenere accesso alle credenziali. Unit 42 ha identificato tre tecniche diverse, tutte basate sull’abuso di come Chrome e il cloud authenticator di Google gestiscono la fiducia del dispositivo, il riconoscimento e la sincronizzazione delle credenziali.

Le vulnerabilità svelate da Unit 42

La prima tecnica, chiamata “Pass-ta-key”, permette a malware non privilegiato di impersonare un dispositivo fiduciario e richiedere una risposta di autenticazione valida per uno dei passkey dell’utente. Questo avviene senza bisogno di privilegi di amministratore, interazione dell’utente, biometria o sblocco del dispositivo. Il cloud authenticator di Google tratta la richiesta come proveniente dal dispositivo fiduciario e restituisce una risposta di autenticazione, detta “assertion”, che può essere utilizzata per accedere all’account. Tuttavia, l’assertion include un flag “User Verified” che indica se è avvenuta la verifica dell’utente, causando il fallimento dell’attacco se il servizio richiede e verifica correttamente questa condizione.

La seconda tecnica, “Silver Pass-ta-key”, permette agli attaccanti di registrare una chiave di verifica dell’utente controllata da loro stessi. Questo avviene forzando Chrome a riconfigurare il dispositivo, invalidando la chiave di verifica esistente o eliminando il file locale che contiene lo stato del passkey. Durante il processo di riconfigurazione, il cloud authenticator non verifica se la nuova chiave proviene da hardware fiduciario, permettendo agli attaccanti di accedere a account che richiedono e verificano la verifica dell’utente. Ebay ha risolto il problema dopo la segnalazione dei ricercatori.

La terza tecnica, “Golden Pass-ta-key”, permette al malware di ottenere la chiave master utilizzata per crittografare tutte le credenziali sincronizzate attraverso il Google Password Manager. Questa chiave, detta “security domain secret” (SDS), viene temporaneamente inviata a Chrome quando un dispositivo si registra o recupera l’accesso all’account. Unit 42 ha scoperto che, sebbene Google abbia rimosso la SDS dai log interni dopo la segnalazione, essa è comunque temporaneamente accessibile nella memoria del browser. Se un attaccante riesce a forzare il riconfigurazione del dispositivo e a individuare il pattern, può estrarre la SDS direttamente dalla memoria e utilizzarla per decrittografare le credenziali sincronizzate e recuperare le chiavi private.

Unit 42 ha avvertito che la chiave master potrebbe essere utilizzata per decrittografare anche le credenziali future sincronizzate, poiché il sistema attuale non permette di rottamare o revocare la chiave. I ricercatori hanno suggerito che i siti web dovrebbero richiedere e verificare correttamente la verifica dell’utente, i gestori delle credenziali dovrebbero validare le chiavi dei dispositivi nuovi, migliorare i processi di recupero e prevenire l’accesso alle chiavi master nella memoria del browser. Nonostante i passkey siano considerati significativamente più sicuri dei password tradizionali, i nuovi attacchi dimostrano che non eliminano i rischi derivanti da malware già presente sul dispositivo. La segnalazione delle vulnerabilità a Google è in corso, ma non è ancora chiaro se siano state completamente risolte. BleepingComputer ha contattato Google per ulteriori commenti, ma non è stata ricevuta una risposta immediata.

—