Nova bezbednosna rupa: Windows malver otključava Google naloge bez lozinke
Istraživači kompanije Unit 42 identifikovali su nekoliko tehnika kojima malver, već prisutan na zaraženom Windows računaru, može da zloupotrebi sinhronizovane Google pristupne ključeve (passkey) i preuzme korisničke naloge bez unošenja lozinke, PIN-a ili biometrijske potvrde. Reč je o nalazu koji baca novo svetlo na to koliko su bezbedni mehanizmi prijave zaista otporni kada napadač već ima uporište unutar sistema.
Ipak, ključno je razumeti okvire ovog otkrića: ono ne dovodi u pitanje samu tehnologiju pristupnih ključeva niti ukazuje na to da je ona probijena u svom osnovnom, kriptografskom smislu. Napad funkcioniše isključivo pod uslovom da je računar prethodno kompromitovan malverom koji već poseduje pristup korisničkom sistemu - što ovu pretnju svrstava u kategoriju posledičnih, a ne primarnih napada.
Kako pristupni ključevi funkcionišu
Pristupni ključevi zamišljeni su kao moderna i sigurnija zamena za tradicionalne lozinke, sa ciljem da u potpunosti eliminišu rizik od fišinga i krađe akreditiva koja godinama pogađa korisnike širom sveta. Upravo ta otpornost na klasične metode prevare učinila ih je jednim od najpouzdanijih rešenja za autentifikaciju u poslednjih nekoliko godina.
Međutim, istraživači su utvrdili da Google Chrome lokalno čuva određene podatke o sinhronizovanim pristupnim ključevima na samom uređaju. Upravo ti lokalno sačuvani podaci predstavljaju tačku ranjivosti koju malver može da iskoristi kako bi se lažno predstavio kao legitimni, poverenja vredan uređaj, zaobilazeći na taj način svrhu koju pristupni ključevi treba da ispune.
Tri tehnike napada
Istraživači su opisali tri odvojene tehnike zloupotrebe, koje se razlikuju po složenosti i dometu. U najjednostavnijem scenariju, malver se jednostavno predstavlja kao legitimni Chrome pregledač i time uspeva da prijavi korisnika na nalog bez ikakve dodatne potvrde identiteta, oslanjajući se na poverenje koje sistem već ima prema pregledaču.
Naprednije varijante napada idu korak dalje - omogućavaju napadaču da sopstveni uređaj registruje kao pouzdan u okviru korisnikovog naloga ili da potpuno zaobiđe proveru identiteta. U praksi to znači da napadač stiče mogućnost da se prijavljuje kao da fizički koristi korisnikov uređaj, bez ikakve nove potvrde identiteta, što napad čini gotovo neprimetnim iz perspektive žrtve.
Trajan pristup i nezamenjivi glavni ključ
Najopasniji od opisanih scenarija podrazumeva da napadači dođu do takozvanog glavnog ključa koji štiti sve korisnikove sinhronizovane pristupne ključeve na jednom mestu. Ovakav pristup napadačima obezbeđuje dugotrajnu kontrolu nad nalozima, koja se, što je posebno zabrinjavajuće, nastavlja i nakon što žrtva otkrije da je sistem bio kompromitovan.
Ono što ovaj scenario čini dodatno problematičnim jeste činjenica da Google trenutno ne nudi mogućnost zamene tog glavnog ključa. Bez opcije za njegovo poništavanje ili obnavljanje, oporavak naloga nakon ovakvog napada postaje znatno komplikovaniji, a korisnici ostaju izloženi riziku duže nego što bi to inače bio slučaj kod klasične krađe lozinke.
Šta ovo znači za korisnike
Prema rečima istraživača, suština problema ne leži u samoj kriptografiji na kojoj počivaju pristupni ključevi, već u načinu na koji Google Chrome i Google Cloud Authenticator upravljaju odnosom poverenja između uređaja i sinhronizovanih pristupnih ključeva. Nakon što su nalazi odgovorno prijavljeni, pojedine kompanije su reagovale - među njima i eBay, koji je već otklonio deo uočenih nedostataka u sopstvenim sistemima.
Za krajnje korisnike ovo otkriće nosi jasnu poruku: posebna pažnja mora se posvetiti zaštiti Windows računara od malvera, jer nijedan metod prijavljivanja, uključujući i pristupne ključeve, ne može u potpunosti zaštititi nalog ukoliko je sam uređaj već kompromitovan. Bezbednost naloga, drugim rečima, i dalje počiva na bezbednosti uređaja koji se koristi za pristup njemu.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.
