Malware, die bereits auf einem Windows-Gerät ausgeführt wird, kann nun die synchronisierten Passwörter eines Opfers direkt aus dem Google-Passwortmanager abrufen. Das geht aus neuen Die ’Pass-ta-key“-Studie von Unit 42 , in dem drei Angriffe beschrieben werden, die unter dem Sammelbegriff ‘Pass-ta-key’ zusammengefasst sind.’
Diese Angriffe zeigen, warum Verbraucherlösungen wie synchronisierte Passkeys für Unternehmensanwendungen nicht immer geeignet sind und warum bei den meisten Anwendungsfällen im Unternehmensbereich eher auf gerätegebundene Passkeys zurückgegriffen werden sollte. IT- und Sicherheitsteams müssen stets ein Gleichgewicht zwischen Sicherheit und Komfort finden: Für Behörden, Finanzdienstleister und stark regulierte Branchen ist „Pass-ta-key“ eine Mahnung daran, dass synchronisierte Passkeys neue Risiken im Zusammenhang mit der Vertrauenswürdigkeit von Geräten, der Wiederherstellung und anderen Phasen im Lebenszyklus von Anmeldedaten mit sich bringen können.
Lassen Sie uns einen Blick darauf werfen, was „Pass-ta-key“-Angriffe sind, welche Lehren Unternehmen aus diesen Angriffen in Bezug auf die Sicherheit ziehen sollten und welche Funktionen Unternehmen, bei denen Sicherheit an erster Stelle steht, bei der Einführung sicherer, phishing-resistenter passwortloser Authentifizierungsverfahren priorisieren sollten.
Der grundlegende „Pass-ta-key“-Angriff ermöglicht es nicht privilegierter Malware, sich als vertrauenswürdiges Gerät auszugeben und eine signierte Authentifizierungsantwort für einen der Passkeys des Opfers anzufordern – ohne PIN, biometrische Daten oder jegliche Benutzerinteraktion.
Der zweite Angriff, „Silver Pass-ta-key“, geht noch einen Schritt weiter. Die Malware zwingt das Gerät dazu, sich erneut beim Cloud-Authentifikator von Google zu registrieren, und registriert dann ihren eigenen Verifizierungsschlüssel anstelle des Schlüssels des Opfers. Google akzeptiert diese neue Registrierung, da der Cloud-Authentifikator nicht überprüft, ob der neue Schlüssel von vertrauenswürdiger Hardware stammt. Ab diesem Zeitpunkt kann sich der Angreifer von einem völlig anderen Rechner aus authentifizieren, ohne dass er weiteren Zugriff auf das Gerät des Opfers benötigt.
Der dritte, „Golden Pass-ta-key“, dürfte den Sicherheitsteams am meisten Sorgen bereiten. Er extrahiert das Sicherheitsdomänengeheimnis, den Hauptschlüssel, den Google zur Verschlüsselung jedes mit einem Konto synchronisierten Passkeys verwendet. Dieser Schlüssel wird bei der Geräteregistrierung und -wiederherstellung kurzzeitig an Chrome gesendet, und Unit 42 stellte fest, dass er im Prozessspeicher des Browsers zugänglich war.
Sobald ein Angreifer den Sicherheitsdomänen-Schlüssel in seinen Händen hält, können alle mit diesem Konto synchronisierten Passkeys – sowohl vergangene als auch zukünftige – entschlüsselt werden. Google hat den Schlüssel seit Bekanntwerden des Berichts aus den Chrome-Protokollen entfernt, doch die zugrunde liegende Sicherheitslücke im Arbeitsspeicher besteht weiterhin, und es gibt nach wie vor keine Möglichkeit, den Schlüssel zu ändern.
Die empfohlenen Maßnahmen – strengere Überprüfungen der Benutzeridentität, eine sicherere Neuregistrierung und das Speichern von Hauptschlüsseln außerhalb des Browserspeichers – sind fundierte Empfehlungen für jeden Anbieter, der einen synchronisierten Anmeldedatenspeicher betreibt, nicht nur für Google.
’Pass-ta-key“ bedeutet nicht, dass Passkeys unsicher sind. Es bedeutet vielmehr, dass die Synchronisierung der privaten Schlüsseldaten der Nutzer auf allen angemeldeten Geräten unter einem einzigen Master-Secret genau die Funktion ist, auf die diese Angriffe abzielen.
Diese Unterscheidung ist für Unternehmen weitaus wichtiger als für einzelne Verbraucher, und sie weist auf drei Punkte hin, die Sicherheitsverantwortliche aus dieser Studie mitnehmen sollten:
1. Unternehmen sollten bei synchronisierten Passkeys Vorsicht walten lassen. Der eigentliche Vorteil synchronisierter Passkeys besteht darin, dass ein auf Ihrem Smartphone registrierter Zugangsnachweis auch auf Ihrem Laptop und dem nächsten Gerät, das Sie kaufen, funktioniert – und zwar geschützt durch ein einziges Geheimnis, das Google, Apple, Meta oder ein anderer Anbieter in Ihrem Auftrag verwahrt. Das ist ein vernünftiger Kompromiss für Verbraucher, die ihr Smartphone wechseln. In den meisten Fällen ist dies für Zugangsdaten von Mitarbeitern jedoch nicht akzeptabel, da jede Zugangsdaten, die elektronisch kopiert werden können, die Gewissheit erheblich mindert, dass sich die Zugangsdaten sicher im Besitz ihres rechtmäßigen Eigentümers befinden.
RSA synchronisiert private Schlüssel nirgendwo. RSA-Authentifikator ordnet jeden Passkey dem einzelnen registrierten Gerät zu, das ihn erstellt hat. Ebenso gilt für den RSA iShield Schlüssel 2 Die Anmeldedaten werden in spezieller FIDO2-Hardware gespeichert, die den privaten Schlüssel niemals außerhalb des Tokens preisgibt. Es befindet sich auch kein gemeinsames Geheimnis im Speicher, das von Malware extrahiert werden könnte, da es gar keines gibt.
2. Der Schutz vor Phishing ist der erste Schritt – nicht der letzte Schritt. Pass-ta-key zeigt, dass es neben Phishing noch weitere Risiken gibt, die Zugangsdaten gefährden. Der Angriff erfolgt über in einem Gerät eingebettete Malware, die es auf den Speicher für Zugangsdaten selbst abgesehen hat. Eine Authentifizierungsmethode, die zwar gegen Phishing gewappnet ist, aber nicht gegen kompromittierte Endgeräte schützt, hat das Problem nur zur Hälfte gelöst.
RSA Mobile Lock deckt die andere Hälfte der Gleichung ab: Es erkennt Malware und andere Bedrohungen auf dem Gerät, auf dem die Anmeldedaten gespeichert sind, sodass ein kompromittierter Endpunkt gekennzeichnet wird, bevor er zu einem gestohlenen Passwort-Tresor wird. Phishing-resistente Authentifizierung und Bedrohungserkennung auf Geräteebene decken unterschiedliche Angriffspfade ab. Behörden, Finanzdienstleister und Organisationen mit hohen Sicherheitsanforderungen benötigen beides. Und um sicher zu bleiben, benötigen diese Organisationen Lösungen, die über den Phishing-Schutz hinausgehen, um sich gegen komplexe Bedrohungen zu verteidigen und Anmeldedaten über ihren gesamten Lebenszyklus hinweg zu schützen.
3. Passkey-Lösungen sind nicht alle gleich. Der Google Passwort-Manager wurde entwickelt, um Verbrauchern, die über ein Smartphone und einen Laptop verfügen, aber keine IT-Abteilung im Rücken haben, die Anmeldung zu erleichtern. Für manche Unternehmen ist das ein berechtigtes Entwicklungsziel. Für kritische Infrastrukturen oder für Mitarbeiter mit Zugriff auf regulierte Daten, personenbezogene Daten oder sensible geistige Eigentumsrechte ist dies jedoch die falsche Wahl.
Als Mitglied der FIDO-Allianz Als führende Kraft in den auf Unternehmen ausgerichteten Arbeitsgruppen treibt RSA die Entwicklung von Standards voran, um den hohen Sicherheitsanforderungen unserer Kunden gerecht zu werden. Aus Erfahrung wissen wir: In FIDO wurde detailliert beschrieben, wie RSA seine eigenen passwortlose Lösungen in unserer weltweiten Belegschaft. Aus unseren eigenen Tests wissen wir, dass „Convenience-First“-Design und Design auf Unternehmensniveau nicht ein und dieselbe Funktion sind, die nur unter unterschiedlichen Markennamen angeboten wird. Es handelt sich um unterschiedliche Produkte, die für unterschiedliche Bedrohungsszenarien entwickelt wurden, und genau bei Untersuchungen wie dieser wird dieser Unterschied deutlich.
Wenn Sie in einer regulierten Branche tätig sind, ist „Pass-ta-key“ eine gute Erinnerung an die folgenden bewährten Verfahren für die passwortlose Authentifizierung:
- Verfolgen Sie einen risikobasierten Ansatz. Legen Sie den Schwerpunkt auf Ihre risikoreichsten Benutzer, Benutzergruppen und Arbeitsabläufe. Unternehmen können es sich nicht leisten, Komfort vor Sicherheit zu stellen, wenn es um den Schutz ihrer wertvollsten Vermögenswerte geht, und sollten gegebenenfalls die Verwendung gerätegebundener oder Hardware-Sicherheitsschlüssel vorschreiben.
- Führen Sie Sicherheitsmaßnahmen ein, die über Phishing hinausgehen. „Pass-ta-key“ war kein Phishing-Angriff, sondern Malware. Auch beim Hackerangriff auf MGM Resorts nutzte ein Angreifer Social Engineering, um den Helpdesk dazu zu bringen, Zugangsdaten zurückzusetzen – es wurden keine Zugangsdaten durch Phishing ergaunert oder gestohlen. Unternehmen tun zwar gut daran, eine phishingresistente Authentifizierung einzuführen, benötigen jedoch weitere Kontrollmaßnahmen, um sicherzustellen, dass sichere Registrierung, schützen vor Malware, und Betrug beim Helpdesk unterbinden.
- Halten Sie Ausschau nach passwortlosen Lösungen, die alle Anforderungen erfüllen. Passwortlose Authentifizierung funktioniert am besten, wenn sie für alle und in jeder Umgebung einsetzbar ist. Behörden, Finanzdienstleister und Organisationen mit hohen Sicherheitsanforderungen sollten passwortlosen Lösungen den Vorrang geben, die Cloud-Anwendungen, Desktop-Anmeldungen und Rechenzentren unterstützen. Diese Lösungen sollten zudem die Agilität aufweisen, vielfältige Anwendungsfälle aus der Praxis wie Offline-Zugriff und gemeinsam genutzte Arbeitsplätze zu unterstützen, sowie die Flexibilität, überall eingesetzt werden zu können – einschließlich SaaS-, Private-Cloud-, On-Premise- und Air-Gapped-Umgebungen.
Kontakt zur RSA Erfahren Sie mehr darüber, wie wir die passwortlose Authentifizierung für Finanzdienstleistungen und Regierung. Oder Probier mal RSA ID Plus aus um zu erfahren, wie wir passwortlose Authentifizierung und weitere Lösungen in Cloud-, Hybrid- und lokalen Umgebungen einsetzen.
’Pass-ta-key“ ist eine Reihe von drei Angriffen, die von der Unit 42 von Palo Alto Networks entdeckt wurden und es bereits auf einem Windows-Gerät ausgeführter Malware ermöglichen, die synchronisierten Passkeys des Google Password Managers zu missbrauchen. Die Angriffe brechen nicht die Passkey-Verschlüsselung. Sie nutzen Schwachstellen in der Art und Weise aus, wie Chrome und der Cloud-Authentifikator von Google die Gerätevertrauenswürdigkeit, die Neuregistrierung und die Wiederherstellung handhaben.
Malware, die sich auf einem kompromittierten Windows-Gerät eingenistet hat, kann Vertrauen vortäuschen, einen gefälschten Verifizierungsschlüssel registrieren oder im schlimmsten Fall den Hauptschlüssel extrahieren, mit dem alle mit einem Google-Konto synchronisierten Passkeys verschlüsselt werden. Dazu muss das Gerät bereits infiziert sein; Passkeys sind nach wie vor gegen herkömmliches Phishing geschützt.
Phishing-resistente, hardwarebasierte oder gerätegebundene Passkeys bleiben sicher für Einsatz in Unternehmen. Synchronisierte Passkeys, bei denen private Schlüsseldaten unter Verwendung eines gemeinsamen Cloud-Geheimnisses auf verschiedene Geräte kopiert werden, stellen eine gemeinsame Schwachstelle dar, die Unternehmen im Hinblick auf Mitarbeiter- und privilegierte Konten vermeiden sollten.
Bei synchronisierten Passkeys wird das verschlüsselte private Schlüsselmaterial in ein Cloud-Konto kopiert, sodass dieselben Anmeldedaten auf mehreren Geräten verwendet werden können. Gerätegebundene Passkeys, wie sie beispielsweise über RSA-Authentifikator, sowie hardwarebasierte Passkeys wie der RSA iShield Schlüssel 2, dürfen niemals das Gerät oder den Token verlassen, auf dem bzw. dem sie erstellt wurden.
Nein. Für „Pass-ta-key“ muss bereits Malware auf dem Gerät des Opfers ausgeführt werden; es handelt sich nicht um einen Phishing-Angriff. Passkeys bieten weiterhin Schutz vor Phishing-Angriffen auf Anmeldedaten. Die Untersuchung zeigt, dass Phishing-Resistenz allein keinen Schutz vor einem bereits kompromittierten Gerät bietet, weshalb neben der Authentifizierung auch die Erkennung von Bedrohungen auf Endgeräteebene von Bedeutung ist.
RSA verzichtet gänzlich auf synchronisierte Passkeys. RSA-Authentifikator bindet Passkeys an ein einzelnes registriertes Gerät, und das RSA iShield Schlüssel 2 Die Anmeldedaten werden auf dedizierter FIDO2-Hardware gespeichert, sodass es kein gemeinsames Cloud-Geheimnis gibt, das gestohlen werden könnte. RSA Mobile Lock Ergänzt die Erkennung von Malware und anderen Bedrohungen direkt auf dem Gerät selbst und schließt damit die Lücke, die durch phishingresistente Anmeldedaten allein nicht abgedeckt wird.
