Malware yang sudah berjalan di perangkat Windows kini dapat mengambil kunci sandi yang telah disinkronkan milik korban langsung dari Google Password Manager. Itulah temuan dari penelitian terbaru Penelitian Pass-ta-key oleh Unit 42 , yang menguraikan tiga serangan yang secara kolektif dinamai ‘Pass-ta-key.’
Serangan-serangan ini menunjukkan mengapa solusi konsumen seperti kunci akses yang disinkronkan tidak selalu sesuai untuk kasus penggunaan di lingkungan perusahaan, dan mengapa sebagian besar kasus penggunaan di kalangan tenaga kerja sebaiknya lebih mengutamakan penggunaan kunci akses yang terikat perangkat. Tim TI dan keamanan selalu perlu menyeimbangkan keamanan dan kenyamanan: bagi lembaga pemerintah, layanan keuangan, dan industri yang sangat diatur, Pass-ta-key menjadi pengingat bahwa kunci akses yang disinkronkan dapat menimbulkan risiko baru yang terkait dengan kepercayaan perangkat, pemulihan, dan tahap-tahap lain dalam siklus hidup kredensial.
Mari kita tinjau apa itu serangan Pass-ta-key, pelajaran keamanan yang harus dipetik oleh organisasi dari serangan tersebut, serta kemampuan-kemampuan yang harus diprioritaskan oleh organisasi yang mengutamakan keamanan dalam menerapkan sistem tanpa kata sandi yang aman dan tahan terhadap phishing.
Serangan Pass-ta-key dasar memungkinkan malware yang tidak memiliki hak istimewa untuk menyamar sebagai perangkat tepercaya dan meminta respons otentikasi yang ditandatangani untuk salah satu passkey korban, tanpa memerlukan PIN, data biometrik, atau interaksi apa pun dari pengguna.
Serangan kedua, Silver Pass-ta-key, melangkah lebih jauh. Malware memaksa perangkat untuk mendaftar ulang ke otentikator cloud Google, lalu mendaftarkan kunci verifikasinya sendiri sebagai pengganti kunci milik korban. Google menerima pendaftaran baru ini, karena autentikator cloud tidak memeriksa apakah kunci baru tersebut berasal dari perangkat keras tepercaya. Mulai saat itu, penyerang dapat melakukan otentikasi dari perangkat yang sama sekali berbeda, tanpa perlu lagi mengakses perangkat korban.
Yang ketiga, Golden Pass-ta-key, seharusnya menjadi yang paling mengkhawatirkan bagi tim keamanan. Kunci ini mengekstrak rahasia domain keamanan, yaitu kunci utama yang digunakan Google untuk mengenkripsi setiap passkey yang disinkronkan ke suatu akun. Kunci tersebut dikirimkan secara singkat ke Chrome selama proses pendaftaran dan pemulihan perangkat, dan Unit 42 menemukan bahwa kunci tersebut dapat diakses di memori proses browser.
Begitu penyerang berhasil memperoleh rahasia domain keamanan, setiap passkey yang disinkronkan ke akun tersebut—baik yang sudah ada maupun yang akan datang—dapat didekripsi. Google telah menghapus rahasia tersebut dari log Chrome sejak laporan tersebut dirilis, namun kerentanan mendasar dalam memori tetap ada, dan hingga saat ini belum ada cara untuk mengganti kunci tersebut.
Langkah-langkah perbaikan yang direkomendasikan—pemeriksaan verifikasi pengguna yang lebih ketat, proses pendaftaran ulang yang lebih aman, serta penyimpanan kunci utama di luar memori browser—merupakan saran yang tepat bagi setiap penyedia layanan yang mengelola penyimpanan kredensial yang tersinkronisasi, tidak hanya Google.
Istilah ’Pass-ta-key" tidak berarti bahwa passkey itu sendiri bermasalah. Artinya, sinkronisasi materi kunci pribadi pengguna di seluruh perangkat yang telah masuk menggunakan satu kunci rahasia utama justru merupakan fitur yang menjadi sasaran serangan-serangan tersebut.
Perbedaan tersebut jauh lebih penting bagi perusahaan daripada bagi konsumen perorangan, dan hal ini mengisyaratkan tiga hal yang harus diperhatikan oleh para pemimpin bidang keamanan dari penelitian ini:
1. Perusahaan sebaiknya bertindak dengan hati-hati dalam hal kunci akses yang disinkronkan. Nilai utama dari passkey yang disinkronkan terletak pada fakta bahwa kredensial yang terdaftar di ponsel Anda juga berfungsi di laptop Anda dan perangkat berikutnya yang Anda beli, semuanya dilindungi oleh satu kunci rahasia yang disimpan oleh Google, Apple, Meta, atau penyedia lain atas nama Anda. Itu merupakan kompromi yang wajar bagi konsumen yang mengganti ponsel. Dalam kebanyakan kasus, hal ini tidak dapat diterima untuk kredensial tenaga kerja, karena kredensial apa pun yang dapat disalin secara elektronik akan secara signifikan mengurangi jaminan bahwa kredensial tersebut berada dalam kepemilikan yang aman dari pemilik sahnya.
RSA tidak menyinkronkan kunci pribadi ke mana pun. Autentikator RSA mengaitkan setiap passkey dengan satu perangkat terdaftar yang membuatnya. Demikian pula, Kunci RSA iShield 2 menyimpan kredensial tersebut dalam perangkat keras FIDO2 khusus yang tidak pernah memaparkan kunci pribadi ke luar token. Selain itu, tidak ada rahasia bersama yang tersimpan di memori yang dapat diekstraksi oleh malware, karena memang tidak ada rahasia bersama yang bisa ditemukan.
2. Ketahanan terhadap phishing adalah langkah pertama—bukan langkah terakhir. Pass-ta-key menunjukkan bahwa ada risiko lain yang mengancam kredensial selain phishing. Serangan ini dilakukan melalui malware yang disisipkan dalam perangkat dan menargetkan penyimpanan kredensial itu sendiri. Metode otentikasi yang tahan terhadap phishing namun tidak menangani masalah perangkat akhir yang telah disusupi hanya menyelesaikan setengah dari masalah.
Kunci Ponsel RSA mencakup sisi lain dari persamaan ini: sistem ini mendeteksi malware dan ancaman lain pada perangkat tempat kredensial disimpan, sehingga titik akhir yang disusupi dapat terdeteksi sebelum berubah menjadi brankas kunci akses yang dicuri. Otentikasi yang tahan terhadap phishing dan deteksi ancaman di tingkat perangkat mencakup jalur serangan yang berbeda. Lembaga pemerintah, layanan keuangan, dan organisasi dengan tingkat keamanan tinggi membutuhkan keduanya. Dan untuk tetap aman, organisasi-organisasi ini memerlukan solusi yang tidak hanya melindungi dari phishing, tetapi juga mampu menangkal ancaman tingkat lanjut serta melindungi kredensial sepanjang siklus hidupnya.
3. Solusi passkey tidak semuanya sama. Google Password Manager dirancang untuk mempermudah proses masuk bagi pengguna yang memiliki ponsel dan laptop, namun tidak didukung oleh departemen TI. Itu merupakan tujuan desain yang wajar bagi beberapa perusahaan. Namun, hal itu bukanlah pilihan yang tepat untuk infrastruktur kritis, atau bagi tenaga kerja yang memiliki akses ke data yang diatur, informasi pribadi (PII), atau kekayaan intelektual (IP) yang sensitif.
Sebagai anggota dari Aliansi FIDO dan sebagai salah satu tokoh terkemuka dalam kelompok kerja yang berfokus pada sektor korporat, RSA terus mendorong pengembangan standar agar sesuai dengan kebutuhan keamanan tingkat tinggi yang diminta oleh pelanggan kami. Berdasarkan pengalaman kami: FIDO menjelaskan secara rinci bagaimana RSA menerapkan sistemnya sendiri solusi tanpa kata sandi di seluruh tenaga kerja global kami. Berdasarkan pengujian yang kami lakukan sendiri, kami mengetahui bahwa desain yang mengutamakan kemudahan dan desain tingkat perusahaan bukanlah kemampuan yang sama dengan merek yang berbeda. Keduanya adalah produk yang berbeda, yang dirancang untuk model ancaman yang berbeda pula, dan penelitian seperti inilah yang memperlihatkan perbedaan tersebut.
Jika Anda bekerja di sektor yang diatur oleh peraturan, Pass-ta-key dapat menjadi pengingat yang baik mengenai praktik terbaik tanpa kata sandi berikut ini:
- Gunakan pendekatan berbasis risiko. Prioritaskan pengguna, kelompok pengguna, dan alur kerja yang paling berisiko. Organisasi tidak boleh mengutamakan kenyamanan daripada keamanan dalam melindungi aset terpenting mereka, dan sebaiknya mempertimbangkan untuk mewajibkan penggunaan kunci keamanan yang terikat perangkat atau kunci keamanan perangkat keras jika dianggap perlu.
- Terapkan langkah-langkah pengendalian yang lebih luas daripada sekadar pencegahan phishing. Pass-ta-key bukanlah serangan phishing, melainkan malware. Demikian pula, ketika sistem MGM Resorts diretas, pelaku serangan menggunakan teknik rekayasa sosial terhadap tim layanan bantuan untuk mereset kredensial—tidak ada kredensial yang dicuri melalui phishing atau dicuri. Meskipun organisasi memang tepat menerapkan otentikasi yang tahan terhadap phishing, mereka tetap memerlukan langkah-langkah pengamanan lain untuk memastikan pendaftaran yang aman, melindungi dari perangkat lunak berbahaya, dan hentikan penipuan di layanan bantuan.
- Cari solusi tanpa kata sandi yang bisa menangani semuanya. Sistem tanpa kata sandi akan berfungsi optimal jika dapat diterapkan oleh semua orang dan di setiap lingkungan. Pemerintah, lembaga jasa keuangan, dan organisasi dengan tingkat keamanan tinggi sebaiknya memprioritaskan solusi tanpa kata sandi yang dapat mendukung akses ke cloud, login desktop, dan pusat data. Solusi-solusi tersebut juga harus memiliki kelincahan untuk mendukung berbagai skenario penggunaan di dunia nyata, seperti akses offline dan workstation bersama, serta fleksibilitas untuk diterapkan di mana saja, termasuk lingkungan SaaS, cloud pribadi, on-premise, dan lingkungan yang terisolasi (air-gapped).
Hubungi RSA untuk mengetahui lebih lanjut tentang bagaimana kami mendukung sistem tanpa kata sandi untuk layanan keuangan dan pemerintah. Atau Coba RSA ID Plus untuk mengetahui bagaimana kami menerapkan sistem tanpa kata sandi dan fitur-fitur lainnya di lingkungan cloud, hybrid, dan on-premises.
Pass-ta-key adalah serangkaian tiga serangan yang ditemukan oleh Unit 42 dari Palo Alto Networks, yang memungkinkan malware yang sudah berjalan di perangkat Windows menyalahgunakan passkey yang disinkronkan dari Google Password Manager. Serangan-serangan ini tidak merusak kriptografi passkey. Serangan ini memanfaatkan kelemahan dalam cara Chrome dan Google Cloud Authenticator menangani kepercayaan perangkat, pendaftaran ulang, dan pemulihan.
Malware yang telah berhasil menyusup ke perangkat Windows yang diretas dapat berpura-pura sebagai pihak tepercaya, mendaftarkan kunci verifikasi palsu, atau—dalam kasus terparah—mengekstrak kunci utama yang mengenkripsi setiap passkey yang disinkronkan ke akun Google. Hal ini mensyaratkan perangkat tersebut sudah terinfeksi; passkey tetap aman dari serangan phishing standar.
Kunci akses yang tahan terhadap phishing, berbasis perangkat keras, atau terikat pada perangkat tetap aman untuk penggunaan di lingkungan perusahaan. Kunci akses yang disinkronkan, yang menyalin materi kunci pribadi ke berbagai perangkat di bawah satu rahasia cloud bersama, menimbulkan titik kegagalan bersama yang sebaiknya dihindari oleh perusahaan untuk akun karyawan dan akun dengan hak istimewa.
Kunci akses yang disinkronkan menyalin materi kunci pribadi yang terenkripsi ke akun cloud sehingga kredensial yang sama dapat digunakan di berbagai perangkat. Kunci akses yang terikat perangkat, seperti yang diterbitkan melalui Autentikator RSA, serta kunci sandi berbasis perangkat keras, seperti Kunci RSA iShield 2, jangan pernah meninggalkan perangkat atau token yang digunakan untuk membuatnya.
Tidak. Pass-ta-key memerlukan adanya malware yang sudah berjalan di perangkat korban; ini bukanlah serangan phishing. Passkeys tetap tahan terhadap phishing kredensial. Penelitian menunjukkan bahwa ketahanan terhadap phishing saja tidak cukup untuk melindungi perangkat yang sudah disusupi, itulah sebabnya deteksi ancaman di tingkat endpoint tetap penting selain proses otentikasi.
RSA sama sekali tidak menggunakan kunci sandi yang disinkronkan. Autentikator RSA mengaitkan passkey ke satu perangkat yang telah terdaftar, dan Kunci RSA iShield 2 kredensial root disimpan di perangkat keras FIDO2 khusus, sehingga tidak ada rahasia cloud bersama yang bisa dicuri. Kunci Ponsel RSA menambahkan fitur deteksi malware dan ancaman lainnya langsung di perangkat itu sendiri, sehingga menutupi celah yang tidak dapat diatasi hanya dengan kredensial yang tahan terhadap serangan phishing.
