Les logiciels malveillants déjà présents sur un appareil Windows peuvent désormais extraire directement les mots de passe synchronisés de la victime depuis Google Password Manager. C'est ce que révèle une nouvelle Les recherches ’ Pass-ta-key » de l'Unité 42 , qui décrit en détail trois attaques regroupées sous le nom de ‘ Pass-ta-key ’.’
Ces attaques montrent pourquoi les solutions grand public, telles que les clés d’accès synchronisées, ne sont pas toujours adaptées aux cas d’utilisation en entreprise, et pourquoi la plupart des environnements professionnels devraient privilégier les clés d’accès liées à un appareil spécifique. Les équipes informatiques et de sécurité doivent toujours trouver un équilibre entre sécurité et commodité : pour les organismes publics, les services financiers et les secteurs fortement réglementés, l’affaire « Pass-ta-key » rappelle que les clés d’accès synchronisées peuvent introduire de nouveaux risques liés à la fiabilité des appareils, à la récupération et à d’autres étapes du cycle de vie des identifiants.
Voyons ensemble en quoi consistent les attaques « Pass-ta-key », les enseignements que les entreprises doivent en tirer en matière de sécurité, ainsi que les fonctionnalités que les entreprises axées sur la sécurité doivent privilégier pour mettre en place des solutions sans mot de passe sécurisées et résistantes au phishing.
L'attaque « Pass-ta-key » de base permet à un logiciel malveillant sans privilèges de se faire passer pour un appareil de confiance et de demander une réponse d'authentification signée pour l'une des clés d'accès de la victime, sans code PIN, sans données biométriques et sans aucune interaction de la part de l'utilisateur.
La deuxième attaque, baptisée « Silver Pass-ta-key », va encore plus loin. Le logiciel malveillant force l’appareil à se réenregistrer auprès de l’authentificateur cloud de Google, puis enregistre sa propre clé de vérification à la place de celle de la victime. Google accepte cet enregistrement, car l’authentificateur cloud ne vérifie pas si la nouvelle clé provient d’un matériel de confiance. À partir de là, l’attaquant peut s’authentifier depuis un appareil totalement différent, sans avoir besoin d’accéder à nouveau à l’appareil de la victime.
Le troisième, « Golden Pass-ta-key », est celui qui devrait inquiéter le plus les équipes de sécurité. Il extrait le secret du domaine de sécurité, la clé principale utilisée par Google pour chiffrer chaque mot de passe synchronisé avec un compte. Cette clé est brièvement transmise à Chrome lors de l’enregistrement et de la récupération d’un appareil, et l’équipe Unit 42 a constaté qu’elle était accessible dans la mémoire du processus du navigateur.
Dès lors qu'un pirate dispose du secret du domaine de sécurité, toutes les clés d'accès synchronisées avec ce compte, passées et futures, peuvent être déchiffrées. Google a supprimé ce secret des journaux de Chrome depuis la publication du rapport, mais la vulnérabilité sous-jacente en mémoire persiste, et il n'existe toujours aucun moyen de renouveler la clé.
Les mesures correctives recommandées — renforcement des contrôles d'authentification des utilisateurs, durcissement de la procédure de réinscription et exclusion des clés principales de la mémoire du navigateur — constituent des conseils judicieux pour tout fournisseur exploitant un magasin d'identifiants synchronisé, et pas seulement pour Google.
Le concept de ’ Pass-ta-key » ne signifie pas que les clés d'accès sont vulnérables. Cela signifie simplement que la synchronisation des clés privées des utilisateurs sur tous les appareils connectés à l'aide d'un secret principal unique est précisément la fonctionnalité visée par ces attaques.
Cette distinction revêt une importance bien plus grande pour les entreprises que pour les particuliers, et elle met en évidence trois enseignements que les responsables de la sécurité devraient tirer de cette étude :
1. Les entreprises doivent faire preuve de prudence lorsqu'elles utilisent des clés d'accès synchronisées. L’intérêt des clés d’accès synchronisées réside dans le fait qu’un identifiant enregistré sur votre téléphone fonctionne également sur votre ordinateur portable et sur le prochain appareil que vous achèterez, le tout étant protégé par un secret unique que Google, Apple, Meta ou un autre fournisseur conserve pour votre compte. C’est un compromis raisonnable pour un consommateur qui change de téléphone. Dans la plupart des cas, cela n’est pas acceptable pour les identifiants professionnels, car tout identifiant pouvant être copié électroniquement réduit considérablement la garantie que cet identifiant est bien en possession de son propriétaire légitime.
Le RSA ne synchronise les clés privées nulle part. RSA Authenticator associe chaque mot de passe d'accès à l'unique appareil enregistré qui l'a créé. De même, le Clé RSA iShield 2 Les identifiants sont stockés dans un matériel FIDO2 dédié qui n'expose jamais la clé privée à l'extérieur du jeton. Il n'y a pas non plus de secret partagé en mémoire que des logiciels malveillants pourraient extraire, car il n'y en a tout simplement pas.
2. La lutte contre le phishing est la première étape, et non la dernière. Pass-ta-key démontre que les identifiants sont exposés à d’autres risques que le phishing. L’attaque s’effectue par le biais d’un logiciel malveillant intégré à un appareil qui s’attaque directement au magasin d’identifiants. Une méthode d’authentification qui résiste au phishing mais qui ne prend pas en compte la compromission d’un terminal n’a résolu que la moitié du problème.
Serrure mobile RSA couvre l’autre volet de l’équation : elle détecte les logiciels malveillants et autres menaces sur le terminal où sont stockés les identifiants, ce qui permet de signaler un terminal compromis avant qu’il ne se transforme en coffre-fort de mots de passe volés. L’authentification résistante au phishing et la détection des menaces au niveau du terminal couvrent différentes voies d’attaque. Les administrations publiques, les services financiers et les organisations à haut niveau de sécurité ont besoin des deux. Et pour garantir leur sécurité, ces organisations ont besoin de solutions qui vont au-delà de la lutte contre le phishing afin de se défendre contre les menaces avancées et de protéger les identifiants tout au long de leur cycle de vie.
3. Toutes les solutions de mots de passe ne se valent pas. Google Password Manager a été conçu pour faciliter la connexion des particuliers disposant d'un téléphone et d'un ordinateur portable, mais ne bénéficiant d'aucun service informatique. Il s'agit là d'un objectif de conception légitime pour certaines entreprises. En revanche, ce n'est pas le bon choix pour les infrastructures critiques, ni pour un personnel ayant accès à des données réglementées, à des informations personnelles identifiables (PII) ou à des informations de propriété intellectuelle sensibles.
En tant que membre de la Alliance FIDO En tant qu'acteur de premier plan au sein de ses groupes de travail axés sur les entreprises, RSA fait évoluer les normes afin de répondre aux besoins de haute sécurité de ses clients. Nous le savons par expérience : le document FIDO décrit en détail comment RSA déploie son propre solutions sans mot de passe au sein de notre personnel à l'échelle mondiale. Nos propres tests nous ont permis de constater que la conception axée sur la facilité d'utilisation et la conception de niveau entreprise ne sont pas une seule et même fonctionnalité présentée sous des appellations différentes. Il s'agit de produits distincts, conçus pour répondre à des modèles de menaces différents, et c'est dans des études comme celle-ci que cette différence apparaît clairement.
Si vous travaillez dans un secteur réglementé, Pass-ta-key vous rappelle les bonnes pratiques suivantes en matière d'authentification sans mot de passe :
- Adopter une approche fondée sur les risques. Donnez la priorité aux utilisateurs, groupes d'utilisateurs et flux de travail les plus à risque. Les entreprises ne peuvent pas se permettre de privilégier la commodité au détriment de la sécurité lorsqu'il s'agit de protéger leurs actifs les plus précieux et devraient envisager d'exiger l'utilisation de clés de sécurité liées à un appareil ou matérielles, le cas échéant.
- Mettre en place des mesures de contrôle allant au-delà de la lutte contre le hameçonnage. « Pass-ta-key » n'était pas une attaque par hameçonnage, mais un logiciel malveillant. De même, lors de la violation subie par MGM Resorts, un pirate a utilisé des techniques d'ingénierie sociale pour convaincre le service d'assistance de réinitialiser les identifiants ; aucun identifiant n'a été obtenu par hameçonnage ni volé. Si les organisations ont raison de mettre en place des systèmes d'authentification résistants à l'hameçonnage, elles ont également besoin d'autres mesures de contrôle pour garantir inscription sécurisée, protéger contre logiciel malveillant, et mettre fin à la fraude au service d'assistance.
- Recherchez des solutions sans mot de passe qui offrent toutes les fonctionnalités nécessaires. L'authentification sans mot de passe est particulièrement efficace lorsqu'elle s'adapte à tous les utilisateurs et à tous les environnements. Les administrations publiques, les services financiers et les organisations soumises à des exigences de sécurité élevées devraient privilégier les solutions d'authentification sans mot de passe capables de prendre en charge le cloud, la connexion aux postes de travail et les centres de données. Ces solutions doivent également offrir la souplesse nécessaire pour prendre en charge divers cas d’utilisation concrets, tels que l’accès hors ligne et les postes de travail partagés, ainsi que la flexibilité requise pour être déployées partout, y compris dans des environnements SaaS, de cloud privé, sur site et isolés physiquement.
Contacter l'ASR pour en savoir plus sur la manière dont nous prenons en charge l'authentification sans mot de passe pour services financiers et gouvernement. Ou Essayez RSA ID Plus pour découvrir comment nous mettons en œuvre l'authentification sans mot de passe et bien d'autres solutions dans des environnements cloud, hybrides et sur site.
’ Pass-ta-key » est un ensemble de trois attaques découvertes par l’équipe Unit 42 de Palo Alto Networks, qui permettent à un logiciel malveillant déjà en cours d’exécution sur un appareil Windows d’exploiter les clés d’accès synchronisées de Google Password Manager. Ces attaques ne contournent pas le chiffrement des clés d'accès. Elles exploitent des failles dans la manière dont Chrome et l'authentificateur cloud de Google gèrent la confiance des appareils, la réinscription et la récupération.
Un logiciel malveillant ayant pris pied sur un appareil Windows compromis peut usurper une identité de confiance, enregistrer une clé de vérification frauduleuse ou, dans le pire des cas, extraire la clé principale qui chiffrer toutes les clés d'accès synchronisées avec un compte Google. Pour cela, l'appareil doit déjà être infecté ; les clés d'accès résistent toujours aux tentatives de hameçonnage classiques.
Les clés d'accès résistantes au phishing, intégrées au matériel ou liées à un appareil restent sécurisées pour utilisation en entreprise. Les clés d'accès synchronisées, qui copient les clés privées d'un appareil à l'autre sous un secret cloud partagé, introduisent un point de défaillance commun que les entreprises devraient éviter pour les comptes des collaborateurs et les comptes privilégiés.
Les clés d'accès synchronisées copient la clé privée chiffrée sur un compte cloud, ce qui permet d'utiliser les mêmes identifiants sur plusieurs appareils. Les clés d'accès liées à un appareil, comme celles émises via RSA Authenticator, ainsi que les clés d'accès intégrées au matériel, comme la Clé RSA iShield 2, ne quittent jamais l'appareil ou le jeton qui les a créés.
Non. Pass-ta-key nécessite la présence d’un logiciel malveillant déjà actif sur l’appareil de la victime ; il ne s’agit pas d’une attaque par hameçonnage. Les clés d’accès continuent de résister à l’hameçonnage visant les identifiants. Les recherches montrent que la résistance à l’hameçonnage ne suffit pas à elle seule à protéger un appareil déjà compromis, c’est pourquoi la détection des menaces au niveau des terminaux est tout aussi importante que l’authentification.
Le protocole RSA n'utilise absolument pas de clés de synchronisation. RSA Authenticator associe les clés d'accès à un seul appareil enregistré, et le Clé RSA iShield 2 Les identifiants root sont stockés sur du matériel FIDO2 dédié ; il n'y a donc aucun secret cloud partagé à voler. Serrure mobile RSA ajoute une fonctionnalité de détection des logiciels malveillants et autres menaces directement sur l'appareil, comblant ainsi les lacunes que les identifiants résistants au phishing ne suffisent pas à couvrir à eux seuls.
