أصبح بإمكان البرامج الضارة التي تعمل بالفعل على جهاز يعمل بنظام ويندوز الآن استخراج مفاتيح المرور المتزامنة الخاصة بالضحية مباشرةً من «مدير كلمات المرور من جوجل». هذه هي النتيجة التي توصلت إليها دراسة جديدة بحث ’Pass-ta-key» الذي أجرته «الوحدة 42» , ، والتي تتناول بالتفصيل ثلاث هجمات أُطلق عليها مجتمعةً اسم ‘Pass-ta-key’.’
تُظهر هذه الهجمات السبب في أن الحلول الاستهلاكية مثل مفاتيح المرور المتزامنة لا تكون دائمًا مناسبة لحالات الاستخدام المؤسسي، ولماذا ينبغي في معظم حالات القوى العاملة التوجه نحو استخدام مفاتيح المرور المرتبطة بالأجهزة. يتعين على فرق تكنولوجيا المعلومات والأمن دائمًا تحقيق التوازن بين الأمان والراحة: بالنسبة للوكالات الحكومية والخدمات المالية والقطاعات الخاضعة لرقابة صارمة، يُعد Pass-ta-key تذكيرًا بأن مفاتيح المرور المتزامنة قد تنطوي على مخاطر جديدة مرتبطة بموثوقية الجهاز، وعملية الاستعادة، ومراحل أخرى في دورة حياة بيانات الاعتماد.
دعونا نستعرض ماهية هجمات «Pass-ta-key»، والدروس الأمنية التي ينبغي على المؤسسات استخلاصها من هذه الهجمات، والقدرات التي يجب على المؤسسات التي تضع الأمن في المقام الأول إعطاء الأولوية لها عند نشر أنظمة آمنة ومقاومة للتصيد الاحتيالي ولا تعتمد على كلمات المرور.
يتيح هجوم «Pass-ta-key» الأساسي للبرامج الضارة التي لا تتمتع بامتيازات أن تنتحل صفة جهاز موثوق به وتطلب استجابة مصادقة موقعة لأحد مفاتيح المرور الخاصة بالضحية، دون الحاجة إلى رقم تعريف شخصي (PIN) أو بيانات بيومترية أو أي تفاعل من جانب المستخدم.
أما الهجوم الثاني، «Silver Pass-ta-key»، فيذهب إلى أبعد من ذلك. حيث تجبر البرمجية الخبيثة الجهاز على إعادة التسجيل في أداة المصادقة السحابية من Google، ثم تسجل مفتاح التحقق الخاص بها بدلاً من مفتاح الضحية. وتقبل Google هذا التسجيل الجديد، لأن أداة المصادقة السحابية لا تتحقق مما إذا كان المفتاح الجديد قد جاء من جهاز موثوق به. ومنذ تلك اللحظة، يمكن للمهاجم إجراء المصادقة من جهاز مختلف تمامًا، دون الحاجة إلى الوصول مرة أخرى إلى جهاز الضحية.
أما الثغرة الثالثة، «Golden Pass-ta-key»، فهي التي ينبغي أن تثير قلق فرق الأمن أكثر من غيرها. فهي تستخرج «سر المجال الأمني»، وهو المفتاح الرئيسي الذي تستخدمه «جوجل» لتشفير كل مفتاح مرور تمت مزامنته مع حساب ما. ويتم إرسال هذا المفتاح لفترة وجيزة إلى متصفح «كروم» أثناء تسجيل الجهاز واستعادته، وقد اكتشفت «Unit 42» أنه يمكن الوصول إليه في ذاكرة عمليات المتصفح.
بمجرد حصول المهاجم على السر الخاص بالمجال الأمني، يصبح من الممكن فك تشفير كل مفتاح مرور تمت مزامنته مع هذا الحساب، سواء في الماضي أو في المستقبل. وقد قامت «جوجل» بإزالة هذا السر من سجلات متصفح «كروم» منذ صدور التقرير، لكن الثغرة الكامنة في الذاكرة لا تزال قائمة، ولا توجد حتى الآن أي طريقة لتغيير المفتاح.
تعد الإجراءات التصحيحية الموصى بها — وهي تشديد إجراءات التحقق من هوية المستخدمين، وتعزيز إجراءات إعادة التسجيل، وإبقاء المفاتيح الرئيسية خارج ذاكرة المتصفح — نصائح سليمة لأي مزود يستخدم مخزن بيانات اعتماد متزامن، وليس فقط لشركة جوجل.
لا تعني عبارة ’Pass-ta-key» أن مفاتيح المرور معطلة. بل تعني أن مزامنة مادة المفتاح الخاص للمستخدمين عبر كل جهاز مسجل الدخول تحت سر رئيسي واحد هي بالضبط الميزة التي تستهدفها هذه الهجمات.
ويكتسب هذا التمييز أهمية أكبر بكثير بالنسبة للشركات مقارنة بالمستهلكين الأفراد، وهو يشير إلى ثلاث نقاط ينبغي على مسؤولي الأمن استخلاصها من هذه الدراسة:
1. ينبغي على الشركات توخي الحذر عند استخدام مفاتيح المرور المتزامنة. وتكمن القيمة الكاملة لمفاتيح المرور المتزامنة في أن بيانات الاعتماد المسجلة على هاتفك تعمل أيضًا على حاسوبك المحمول وعلى الجهاز التالي الذي تشتريه، وكلها محمية بسر واحد تحتفظ به «جوجل» أو «آبل» أو «ميتا» أو أي مزود آخر نيابة عنك. وهذه مقايضة معقولة بالنسبة للمستهلك الذي يغير هاتفه. في معظم الحالات، لا يُعد ذلك مقبولًا بالنسبة لبيانات اعتماد الموظفين، لأن أي بيانات اعتماد يمكن نسخها إلكترونيًا تقلل بشكل كبير من ضمان أن تكون بيانات الاعتماد في حوزة مالكها الشرعي بشكل آمن.
لا تقوم RSA بمزامنة المفاتيح الخاصة في أي مكان. مصادقة RSA Authenticator يربط كل مفتاح مرور بالجهاز المسجل الوحيد الذي أنشأه. وبالمثل، فإن مفتاح RSA iShield Key 2 تخزن بيانات الاعتماد في أجهزة FIDO2 مخصصة لا تكشف أبدًا عن المفتاح الخاص خارج الرمز المميز. كما لا يوجد سر مشترك مخزّن في الذاكرة يمكن للبرامج الضارة استخراجه، لأنه لا يوجد سر يمكن العثور عليه أصلاً.
2. مقاومة التصيد الاحتيالي هي الخطوة الأولى — وليست الخطوة الأخيرة. يُظهر هجوم «Pass-ta-key» أن هناك مخاطر أخرى تهدد بيانات الاعتماد بخلاف التصيد الاحتيالي. يعمل هذا الهجوم من خلال برمجيات خبيثة مدمجة في الجهاز تستهدف مخزن بيانات الاعتماد نفسه. إن طريقة المصادقة التي تقاوم التصيد الاحتيالي ولكنها لا تعالج مشكلة اختراق نقطة النهاية، لا تحل سوى نصف المشكلة.
قفل RSA المحمول ويغطي هذا الجانب النصف الآخر من المعادلة: فهو يكتشف البرامج الضارة والتهديدات الأخرى على الجهاز الذي تُخزَّن فيه بيانات الاعتماد، وبالتالي يتم الإبلاغ عن أي نقطة نهاية مخترقة قبل أن تتحول إلى خزينة مفاتيح مرور مسروقة. وتغطي المصادقة المقاومة للتصيد الاحتيالي واكتشاف التهديدات على مستوى الجهاز مسارات هجوم مختلفة. وتحتاج الوكالات الحكومية والخدمات المالية والمؤسسات ذات المتطلبات الأمنية العالية إلى كليهما. وللحفاظ على أمنها، تحتاج هذه المؤسسات إلى حلول تتجاوز التصيد الاحتيالي للدفاع ضد التهديدات المتقدمة وحماية بيانات الاعتماد طوال دورة حياتها بأكملها.
3. حلول «Passkey» ليست جميعها متشابهة. صُمم «مدير كلمات المرور من Google» لتسهيل عملية تسجيل الدخول للمستخدم العادي الذي يمتلك هاتفًا وجهاز كمبيوتر محمولًا، ولا يتوفر لديه قسم تكنولوجيا المعلومات لدعمه. ويُعد هذا هدفًا تصميميًا مشروعًا بالنسبة لبعض الشركات. لكنه خيار خاطئ بالنسبة للبنى التحتية الحيوية، أو للقوى العاملة التي لديها صلاحية الوصول إلى البيانات الخاضعة للتنظيم، أو المعلومات الشخصية المحددة الهوية (PII)، أو الملكية الفكرية الحساسة.
بصفتك عضوًا في تحالف FIDO وباعتبارها صوتًا رائدًا في مجموعات العمل التي تركز على المؤسسات، تعمل RSA على تطوير المعايير لتلبية متطلبات حالات الاستخدام التي تتطلب مستوى عالٍ من الأمان والتي يحتاجها عملاؤنا. ونعلم من تجربتنا أن: FIDO قد أوضحت بالتفصيل كيف تنشر RSA حلول بدون كلمة مرور على مستوى قوتنا العاملة العالمية. ونعلم من الاختبارات التي أجريناها بأن «التصميم الذي يضع الراحة في المقام الأول» و«التصميم المخصص للمؤسسات» ليسا نفس القدرة تحت علامات تجارية مختلفة. إنهما منتجان مختلفان، صُمما لمواجهة نماذج تهديد مختلفة، وتظهر هذه الفروق بوضوح في الأبحاث من هذا النوع.
إذا كنت تعمل في قطاع خاضع للرقابة، فإن «Pass-ta-key» يُعد تذكيرًا جيدًا بأفضل الممارسات التالية المتعلقة بالاستغناء عن كلمات المرور:
- اتّبع نهجًا قائمًا على المخاطر. أعطِ الأولوية للمستخدمين ومجموعات المستخدمين وسير العمل الأكثر عرضة للمخاطر. لا يمكن للمؤسسات أن تفضل الراحة على الأمن عندما يتعلق الأمر بحماية أصولها الأكثر قيمة، وينبغي عليها أن تنظر في فرض استخدام مفاتيح الأمان المرتبطة بالأجهزة أو مفاتيح الأمان المادية حيثما كان ذلك مناسبًا.
- تطبيق إجراءات رقابة تتجاوز التصيد الاحتيالي. لم تكن «Pass-ta-key» هجمة تصيد احتيالي، بل كانت برمجية خبيثة. وبالمثل، عندما تعرضت «MGM Resorts» للاختراق، استخدم المهاجم أساليب الهندسة الاجتماعية للتأثير على موظفي مكتب الدعم الفني لإعادة تعيين بيانات الاعتماد — ولم يتم الحصول على أي بيانات اعتماد عن طريق التصيد الاحتيالي أو سرقتها. ورغم أن المؤسسات محقة في تطبيق أنظمة مصادقة مقاومة للتصيد الاحتيالي، فإنها تحتاج إلى ضوابط أخرى لضمان التسجيل الآمن, ، والحماية من البرامج الضارة, و وقف الاحتيال في مكاتب الدعم الفني.
- ابحث عن حلول لا تعتمد على كلمات المرور وتستطيع تلبية جميع احتياجاتك. تُحقق تقنية «الدخول بدون كلمة مرور» أفضل أداء عندما تكون مناسبة للجميع وفي كل بيئة. وينبغي على الجهات الحكومية ومؤسسات الخدمات المالية والمنظمات التي تتطلب مستويات عالية من الأمان إعطاء الأولوية للحلول التي لا تعتمد على كلمات المرور، والتي يمكنها دعم الخدمات السحابية وتسجيل الدخول إلى أجهزة سطح المكتب ومراكز البيانات. كما يجب أن تتميز هذه الحلول بالمرونة اللازمة لدعم حالات الاستخدام المتنوعة في العالم الواقعي، مثل الوصول دون اتصال بالإنترنت ومحطات العمل المشتركة، بالإضافة إلى المرونة التي تتيح نشرها في أي مكان، بما في ذلك بيئات SaaS والسحابة الخاصة والبيئات المحلية والبيئات المعزولة عن الشبكة.
اتصل بـ RSA لمعرفة المزيد عن كيفية دعمنا لنظام الدخول بدون كلمة مرور لـ الخدمات المالية و الحكومة. أو جرب RSA ID Plus لمعرفة كيف نقوم بنشر تقنية الدخول بدون كلمة مرور وغيرها من التقنيات في البيئات السحابية والهجينة والمحلية.
’Pass-ta-key» هي مجموعة من ثلاث هجمات اكتشفتها وحدة «Unit 42» التابعة لشركة «Palo Alto Networks»، تتيح للبرامج الضارة التي تعمل بالفعل على جهاز يعمل بنظام «ويندوز» استغلال مفاتيح المرور المتزامنة الخاصة بـ«Google Password Manager». لا تكسر هذه الهجمات تشفير مفاتيح المرور. بل تستغل نقاط الضعف في الطريقة التي يتعامل بها متصفح Chrome ومُثبت الهوية السحابي من Google مع ثقة الجهاز وإعادة التسجيل والاستعادة.
يمكن للبرامج الضارة التي تمكنت من التسلل إلى جهاز ويندوز مخترق أن تنتحل صفة الجهة الموثوقة، أو تسجل مفتاح تحقق مزيفًا، أو — في أسوأ الحالات — تستخرج المفتاح الرئيسي الذي يشفر كل مفتاح مرور تمت مزامنته مع حساب جوجل. ويتطلب ذلك أن يكون الجهاز مصابًا بالفعل؛ أما مفاتيح المرور فهي لا تزال مقاومة لعمليات التصيد الاحتيالي القياسية.
تظل مفاتيح المرور المقاومة للتصيد الاحتيالي، أو تلك المرتبطة بالأجهزة، أو المرتبطة بالجهاز نفسه آمنة لـ الاستخدام المؤسسي. إن مفاتيح المرور المتزامنة، التي تنقل محتوى المفتاح الخاص عبر الأجهزة في إطار سر سحابي مشترك واحد، تشكل نقطة فشل مشتركة يجب على الشركات تجنبها فيما يتعلق بحسابات الموظفين والحسابات ذات الصلاحيات الخاصة.
تقوم مفاتيح المرور المتزامنة بنسخ مادة المفتاح الخاص المشفرة إلى حساب سحابي، بحيث تعمل نفس بيانات الاعتماد عبر أجهزة متعددة. أما مفاتيح المرور المرتبطة بجهاز معين، مثل تلك التي يتم إصدارها من خلال مصادقة RSA Authenticator, ، ومفاتيح المرور المرتبطة بالأجهزة، مثل مفتاح RSA iShield Key 2, ، ولا تغادر أبدًا الجهاز أو الرمز الذي تم إنشاؤها بواسطته.
لا. يتطلب برنامج «Pass-ta-key» وجود برمجيات خبيثة قيد التشغيل بالفعل على جهاز الضحية؛ فهو ليس هجومًا للتصيد الاحتيالي. ولا تزال «Passkeys» قادرة على مقاومة التصيد الاحتيالي لبيانات الاعتماد. وتُظهر الأبحاث أن مقاومة التصيد الاحتيالي وحدها لا توفر الحماية في حالة تعرض الجهاز للاختراق بالفعل، ولهذا السبب يُعد الكشف عن التهديدات على مستوى النقاط الطرفية أمرًا مهمًا إلى جانب عملية المصادقة.
تتجنب تقنية RSA استخدام مفاتيح المرور المتزامنة تمامًا. مصادقة RSA Authenticator يربط مفاتيح المرور بجهاز واحد مسجل، و مفتاح RSA iShield Key 2 بيانات اعتماد الجذر مخزنة في أجهزة مخصصة من طراز FIDO2، لذا لا يوجد سر سحابي مشترك يمكن سرقته. قفل RSA المحمول يضيف ميزة الكشف عن البرامج الضارة والتهديدات الأخرى على الجهاز نفسه، مما يسد الثغرة التي لا تغطيها بيانات الاعتماد المقاومة للتصيد الاحتيالي وحدها.
