Il malware già in esecuzione su un dispositivo Windows è ora in grado di estrarre le chiavi di accesso sincronizzate della vittima direttamente da Google Password Manager. È quanto emerge da una nuova La ricerca ’Pass-ta-key" dell'Unit 42 , che descrive in dettaglio tre attacchi denominati collettivamente ‘Pass-ta-key’.’
Questi attacchi dimostrano perché le soluzioni destinate ai consumatori, come le passkey sincronizzate, non sono sempre adatte ai casi d’uso aziendali e perché, nella maggior parte dei casi, è preferibile optare per passkey legate al dispositivo. I team IT e di sicurezza devono sempre trovare un equilibrio tra sicurezza e praticità: per le agenzie governative, i servizi finanziari e i settori altamente regolamentati, Pass-ta-key ci ricorda che le passkey sincronizzate possono introdurre nuovi rischi legati all’affidabilità dei dispositivi, al recupero e ad altre fasi del ciclo di vita delle credenziali.
Vediamo quali sono gli attacchi Pass-ta-key, quali insegnamenti in materia di sicurezza le organizzazioni dovrebbero trarne e quali funzionalità le organizzazioni che danno priorità alla sicurezza dovrebbero considerare fondamentali nell’implementazione di soluzioni sicure, resistenti al phishing e senza password.
L'attacco Pass-ta-key di base consente a un malware privo di privilegi di spacciarsi per un dispositivo affidabile e richiedere una risposta di autenticazione firmata per una delle passkey della vittima, senza PIN, dati biometrici o alcuna interazione da parte dell'utente.
Il secondo attacco, denominato “Silver Pass-ta-key”, va oltre. Il malware costringe il dispositivo a registrarsi nuovamente con l’autenticatore cloud di Google, quindi registra la propria chiave di verifica al posto di quella della vittima. Google accetta questa nuova registrazione, poiché l’autenticatore cloud non verifica se la nuova chiave provenga da un hardware affidabile. A quel punto, l’autore dell’attacco può autenticarsi da un dispositivo completamente diverso, senza che sia più necessario accedere al dispositivo della vittima.
Il terzo, Golden Pass-ta-key, è quello che dovrebbe preoccupare maggiormente i team di sicurezza. Estrae il segreto del dominio di sicurezza, ovvero la chiave principale che Google utilizza per crittografare ogni passkey sincronizzata con un account. Tale chiave viene inviata per un breve periodo a Chrome durante la registrazione e il ripristino del dispositivo, e Unit 42 ha scoperto che era accessibile nella memoria di processo del browser.
Una volta che un malintenzionato è entrato in possesso del segreto del dominio di sicurezza, è in grado di decriptare tutte le passkey sincronizzate con quell’account, sia passate che future. Google ha rimosso il segreto dai log di Chrome dopo la segnalazione, ma la vulnerabilità sottostante nella memoria permane e non esiste ancora alcun modo per ruotare la chiave.
Le soluzioni consigliate – controlli più rigorosi sulla verifica degli utenti, procedure di nuova registrazione più sicure e l’esclusione delle chiavi master dalla memoria del browser – rappresentano consigli validi per qualsiasi fornitore che gestisca un archivio di credenziali sincronizzato, non solo per Google.
Il termine ’Pass-ta-key" non significa che le passkey siano vulnerabili. Significa piuttosto che la sincronizzazione delle chiavi private degli utenti su tutti i dispositivi a cui hanno effettuato l'accesso tramite un unico segreto principale è proprio la funzionalità presa di mira da questi attacchi.
Questa distinzione è molto più rilevante per le aziende che per i singoli consumatori e mette in luce tre aspetti che i responsabili della sicurezza dovrebbero trarre da questa ricerca:
1. Le aziende dovrebbero procedere con cautela nell'uso delle chiavi di accesso sincronizzate. Il vero valore delle passkey sincronizzate sta nel fatto che una credenziale registrata sul tuo telefono funziona anche sul tuo portatile e sul prossimo dispositivo che acquisterai, il tutto protetto da un unico segreto custodito per tuo conto da Google, Apple, Meta o un altro fornitore. Si tratta di un compromesso ragionevole per un consumatore che cambia telefono. Nella maggior parte dei casi ciò non è accettabile per le credenziali dei dipendenti, poiché qualsiasi credenziale che possa essere copiata elettronicamente riduce significativamente la garanzia che la credenziale sia in possesso sicuro del suo legittimo proprietario.
RSA non sincronizza le chiavi private in nessun luogo. Autenticatore RSA associa ogni passkey al singolo dispositivo registrato che l'ha creata. Allo stesso modo, il Chiave RSA iShield 2 le credenziali sono integrate nell'hardware dedicato FIDO2, che non espone mai la chiave privata al di fuori del token. Inoltre, non vi è alcun segreto condiviso in memoria che il malware possa estrarre, poiché non ce n'è uno da trovare.
2. La resistenza al phishing è il primo passo, non l'ultimo. Pass-ta-key dimostra che i rischi che minacciano le credenziali non si limitano al phishing. L'attacco avviene tramite un malware incorporato in un dispositivo che prende di mira proprio l'archivio delle credenziali. Un metodo di autenticazione che resiste al phishing ma non tiene conto della compromissione di un endpoint ha risolto solo metà del problema.
Blocco mobile RSA copre l’altra metà dell’equazione: rileva malware e altre minacce sul dispositivo in cui sono archiviate le credenziali, in modo che un endpoint compromesso venga segnalato prima che si trasformi in un archivio di password rubate. L’autenticazione resistente al phishing e il rilevamento delle minacce a livello di dispositivo coprono diversi vettori di attacco. Le agenzie governative, i servizi finanziari e le organizzazioni ad alta sicurezza hanno bisogno di entrambi. E per garantire la propria sicurezza, queste organizzazioni necessitano di soluzioni che vadano oltre il phishing per difendersi dalle minacce avanzate e proteggere le credenziali durante l’intero ciclo di vita.
3. Le soluzioni basate su passkey non sono tutte uguali. Google Password Manager è stato progettato per semplificare l'accesso agli utenti che dispongono di uno smartphone e di un laptop, ma non possono contare sul supporto di un reparto IT. Si tratta di un obiettivo di progettazione legittimo per alcune aziende. È invece una scelta sbagliata per le infrastrutture critiche o per il personale che ha accesso a dati soggetti a normative, informazioni personali identificabili (PII) o proprietà intellettuale sensibile.
In qualità di membro del Alleanza FIDO In qualità di voce di spicco nei gruppi di lavoro dedicati al settore aziendale, RSA promuove lo sviluppo di standard in grado di soddisfare i requisiti di sicurezza elevati richiesti dai nostri clienti. Lo sappiamo per esperienza: il documento FIDO illustra in dettaglio come RSA implementi il proprio Soluzioni senza password tra il nostro personale a livello globale. Dai nostri test sappiamo che il design incentrato sulla praticità e quello di livello aziendale non sono la stessa cosa con un marchio diverso. Si tratta di prodotti diversi, realizzati per modelli di minaccia diversi, ed è proprio in ricerche come questa che emerge tale differenza.
Se lavori in un settore soggetto a regolamentazione, Pass-ta-key è un utile promemoria delle seguenti best practice relative all'uso senza password:
- Adottare un approccio basato sul rischio. Date priorità agli utenti, ai gruppi di utenti e ai flussi di lavoro più a rischio. Le organizzazioni non possono permettersi di anteporre la comodità alla sicurezza quando si tratta di proteggere i propri beni più preziosi e dovrebbero valutare la possibilità di richiedere l'uso di chiavi di sicurezza legate al dispositivo o hardware, ove opportuno.
- Adottare misure di controllo che vadano oltre il phishing. Pass-ta-key non era un attacco di phishing, ma un malware. Allo stesso modo, quando si è verificata la violazione ai danni di MGM Resorts, un hacker ha sfruttato tecniche di ingegneria sociale per indurre l’help desk a reimpostare le credenziali: nessuna credenziale è stata ottenuta tramite phishing o rubata. Sebbene le organizzazioni facciano bene ad adottare sistemi di autenticazione resistenti al phishing, hanno bisogno di ulteriori controlli per garantire iscrizione sicura, proteggere da malware, e fermare le frodi all'help desk.
- Cerca soluzioni senza password in grado di fare tutto. L'approccio "senza password" funziona al meglio quando è applicabile a tutti e in ogni ambiente. Le amministrazioni pubbliche, i servizi finanziari e le organizzazioni che richiedono un elevato livello di sicurezza dovrebbero dare priorità alle soluzioni "senza password" in grado di supportare il cloud, l'accesso ai desktop e i data center. Tali soluzioni dovrebbero inoltre garantire l’agilità necessaria per supportare diversi casi d’uso reali, come l’accesso offline e le postazioni di lavoro condivise, nonché la flessibilità per essere implementate ovunque, inclusi ambienti SaaS, cloud privato, on-premise e air-gapped.
Contatta la RSA per saperne di più su come supportiamo l'autenticazione senza password per servizi finanziari e governo. Oppure prova RSA ID Plus per scoprire come implementiamo soluzioni senza password e altre funzionalità in ambienti cloud, ibridi e on-premise.
Pass-ta-key è una serie di tre attacchi scoperti dall’Unit 42 di Palo Alto Networks che consentono al malware già in esecuzione su un dispositivo Windows di sfruttare le passkey sincronizzate di Google Password Manager. Questi attacchi non compromettono la crittografia delle passkey, ma sfruttano le vulnerabilità nel modo in cui Chrome e l’autenticatore cloud di Google gestiscono l’affidabilità dei dispositivi, la ri-registrazione e il recupero.
Un malware che si sia insediato su un dispositivo Windows compromesso può fingersi attendibile, registrare una chiave di verifica fraudolenta o, nel caso più grave, estrarre la chiave principale che crittografa tutte le passkey sincronizzate con un account Google. Ciò presuppone che il dispositivo sia già infetto; le passkey continuano comunque a resistere alle tecniche di phishing standard.
Le passkey resistenti al phishing, basate su hardware o legate al dispositivo rimangono sicure per uso aziendale. Le chiavi di accesso sincronizzate, che copiano il materiale della chiave privata tra i dispositivi tramite un unico segreto cloud condiviso, introducono un punto di errore condiviso che le aziende dovrebbero evitare per gli account dei dipendenti e quelli con privilegi.
Le passkey sincronizzate copiano il materiale della chiave privata crittografata su un account cloud, in modo che la stessa credenziale funzioni su più dispositivi. Le passkey legate al dispositivo, come quelle emesse tramite Autenticatore RSA, e le chiavi di accesso basate sull'hardware, come la Chiave RSA iShield 2, non devono mai lasciare il dispositivo o il token che li ha generati.
No. Pass-ta-key richiede che sul dispositivo della vittima sia già in esecuzione un malware; non si tratta di un attacco di phishing. Le passkey continuano a resistere al phishing delle credenziali. La ricerca dimostra che la resistenza al phishing da sola non protegge da un dispositivo già compromesso, motivo per cui il rilevamento delle minacce a livello di endpoint è fondamentale, oltre all’autenticazione.
RSA evita del tutto l'uso di passkey sincronizzate. Autenticatore RSA associa le passkey a un unico dispositivo registrato, e il Chiave RSA iShield 2 credenziali di root su hardware dedicato FIDO2, quindi non c'è alcuna chiave segreta condivisa nel cloud da rubare. Blocco mobile RSA aggiunge la funzione di rilevamento di malware e altre minacce direttamente sul dispositivo, colmando così quella lacuna che le sole credenziali resistenti al phishing non riescono a coprire.
