Исследователи из Unit 42 обнаружили три способа атаковать ключи доступа, синхронизированные через Google Password Manager. Сценарии получили общее название Pass-ta-key и позволяют захватывать аккаунты, обходить проверку пользователя и даже извлекать закрытые ключи.
Есть важное условие: вредоносная программа уже должна работать на компьютере жертвы с Windows и модулем TPM.
Криптографию ключей доступа исследователи не взломали, они нашли слабые места в механизмах доверия к устройствам, повторной регистрации и восстановления доступа.
В первой атаке вредонос без прав администратора выдаёт себя за доверенный компьютер и запрашивает у облачного сервиса Google готовое подтверждение для входа. Биометрия, ПИН-код и участие пользователя не требуются.
Метод не сработал на GitHub, который корректно проверял факт подтверждения личности, но позволил войти в аккаунт eBay. После уведомления сервис устранил проблему.
Метод Silver Pass-ta-key действует наглее. Вредонос принудительно запускает повторную регистрацию Chrome и подсовывает Google собственный ключ проверки пользователя. Облачный сервис принимает его за доказательство ввода ПИН-кода или использования биометрии. После этого злоумышленник может входить в защищённые аккаунты уже с другого устройства.
Наконец, Golden Pass-ta-key позволяет вытащить главный секрет, которым шифруются все синхронизированные ключи доступа. Сначала Chrome выводил его открытым текстом в журналах FIDO.
Google убрала секрет из логов, однако он по-прежнему временно появляется в памяти браузера во время регистрации или восстановления. Если вредонос успеет его перехватить, злоумышленник сможет расшифровать закрытые ключи и перенести их на другой компьютер.
По данным Unit 42, украденный секрет подойдёт и для расшифровки будущих ключей доступа, а механизма его отзыва или замены сейчас нет.
