Um malware que já esteja em execução em um dispositivo Windows agora pode extrair as senhas sincronizadas da vítima diretamente do Gerenciador de Senhas do Google. Essa é a conclusão de uma nova Pesquisa ’Pass-ta-key” da Unidade 42 , que descreve em detalhes três ataques conhecidos coletivamente como ‘Pass-ta-key’.’
Esses ataques demonstram por que soluções voltadas para o consumidor, como chaves de acesso sincronizadas, nem sempre são adequadas para casos de uso corporativos, e por que, na maioria das situações envolvendo a força de trabalho, é preferível optar por chaves de acesso vinculadas a dispositivos específicos. As equipes de TI e segurança precisam sempre equilibrar segurança e conveniência: para órgãos governamentais, serviços financeiros e setores altamente regulamentados, o caso Pass-ta-key serve como um lembrete de que as chaves de acesso sincronizadas podem introduzir novos riscos associados à confiabilidade do dispositivo, à recuperação e a outras etapas do ciclo de vida das credenciais.
Vamos revisar o que são os ataques do tipo “Pass-ta-key”, as lições de segurança que as organizações devem extrair desses ataques e os recursos que as organizações que priorizam a segurança devem considerar ao implementar sistemas seguros, resistentes ao phishing e sem senha.
O ataque Pass-ta-key básico permite que um malware sem privilégios se faça passar por um dispositivo confiável e solicite uma resposta de autenticação assinada para uma das chaves de acesso da vítima, sem a necessidade de PIN, dados biométricos ou qualquer interação do usuário.
O segundo ataque, o Silver Pass-ta-key, vai além. O malware força o dispositivo a se recadastrar no autenticador na nuvem do Google e, em seguida, registra sua própria chave de verificação no lugar da chave da vítima. O Google aceita esse novo registro, pois o autenticador na nuvem não verifica se a nova chave veio de um hardware confiável. A partir desse momento, o invasor pode se autenticar a partir de uma máquina totalmente diferente, sem precisar mais acessar o dispositivo da vítima.
O terceiro, o Golden Pass-ta-key, é o que mais deve preocupar as equipes de segurança. Ele extrai o segredo do domínio de segurança, a chave mestra que o Google usa para criptografar todas as senhas sincronizadas com uma conta. Essa chave é enviada momentaneamente ao Chrome durante o registro e a recuperação do dispositivo, e a Unit 42 descobriu que ela ficava acessível na memória do processo do navegador.
Assim que um invasor obtiver o segredo do domínio de segurança, todas as senhas sincronizadas com essa conta — tanto as antigas quanto as futuras — poderão ser descriptografadas. O Google removeu o segredo dos registros do Chrome desde a divulgação do relatório, mas a exposição subjacente na memória permanece, e ainda não há como alternar a chave.
As correções recomendadas — verificações mais rigorosas de identidade do usuário, processo de recadastramento mais seguro e a exclusão das chaves-mestre da memória do navegador — são conselhos válidos para qualquer fornecedor que utilize um armazenamento sincronizado de credenciais, não apenas para o Google.
O conceito de ’Pass-ta-key” não significa que as chaves de acesso estejam vulneráveis. Significa que a sincronização do material da chave privada dos usuários em todos os dispositivos conectados por meio de um único segredo mestre é exatamente o recurso que esses ataques têm como alvo.
Essa distinção é muito mais importante para as empresas do que para os consumidores individuais e aponta para três aspectos que os líderes de segurança devem extrair desta pesquisa:
1. As empresas devem agir com cautela ao utilizar chaves de acesso sincronizadas. O grande valor das chaves de acesso sincronizadas reside no fato de que uma credencial registrada no seu celular também funciona no seu laptop e no próximo dispositivo que você comprar, tudo protegido por um segredo que o Google, a Apple, a Meta ou outro provedor mantém em seu nome. Essa é uma compensação razoável para um consumidor que troca de celular. Na maioria dos casos, isso não é aceitável para credenciais de funcionários, pois qualquer credencial que possa ser copiada eletronicamente diminui significativamente a garantia de que ela esteja em posse segura de seu proprietário legítimo.
O RSA não sincroniza chaves privadas em nenhum lugar. Autenticador RSA associa cada senha de acesso ao único dispositivo cadastrado que a criou. Da mesma forma, o Chave RSA iShield 2 armazena a credencial em hardware FIDO2 dedicado, que nunca expõe a chave privada para fora do token. Também não há nenhum segredo compartilhado na memória que possa ser extraído por malware, pois simplesmente não há nenhum para ser encontrado.
2. A resistência ao phishing é o primeiro passo — e não o último. O Pass-ta-key demonstra que existem mais riscos que ameaçam as credenciais além do phishing. O ataque funciona por meio de um malware incorporado a um dispositivo que tem como alvo o próprio repositório de credenciais. Um método de autenticação que resiste ao phishing, mas não lida com um terminal comprometido, resolveu apenas metade do problema.
Bloqueio móvel RSA cobre a outra metade da equação: detecta malware e outras ameaças no dispositivo onde as credenciais estão armazenadas, de modo que um terminal comprometido seja sinalizado antes que se transforme em um cofre de senhas roubadas. A autenticação resistente a phishing e a detecção de ameaças no nível do dispositivo cobrem diferentes vias de ataque. Órgãos governamentais, serviços financeiros e organizações de alta segurança precisam de ambas. E, para se manterem seguras, essas organizações precisam de soluções que vão além do phishing para se defenderem contra ameaças avançadas e protegerem as credenciais ao longo de todo o seu ciclo de vida.
3. As soluções de senha única não são todas iguais. O Gerenciador de Senhas do Google foi projetado para facilitar o login para um consumidor que tenha um celular, um laptop e não conte com o apoio de um departamento de TI. Esse é um objetivo de design válido para algumas empresas. No entanto, é a escolha errada para infraestruturas críticas ou para uma força de trabalho com acesso a dados regulamentados, informações de identificação pessoal (PII) ou propriedade intelectual (IP) confidencial.
Como membro da Aliança FIDO e, como voz de destaque em seus grupos de trabalho voltados para o setor empresarial, a RSA impulsiona os padrões para atender aos casos de uso de alta segurança exigidos por nossos clientes. Sabemos por experiência própria: o FIDO detalhou como a RSA implementa seu próprio soluções sem senha em toda a nossa força de trabalho global. Sabemos, com base em nossos próprios testes, que o design voltado para a conveniência e o design de nível empresarial não são a mesma funcionalidade com marcas diferentes. São produtos distintos, desenvolvidos para modelos de ameaças diferentes, e é em pesquisas como essa que essa diferença fica evidente.
Se você trabalha em um setor regulamentado, o Pass-ta-key é um bom lembrete das seguintes práticas recomendadas para o uso sem senha:
- Adote uma abordagem baseada no risco. Priorize seus usuários, grupos de usuários e fluxos de trabalho de maior risco. As organizações não podem se dar ao luxo de priorizar a conveniência em detrimento da segurança quando se trata de proteger seus ativos mais valiosos e devem considerar a exigência do uso de chaves de segurança vinculadas a dispositivos ou de hardware, quando for o caso.
- Implemente controles que vão além do phishing. O Pass-ta-key não foi um ataque de phishing, mas sim um malware. Da mesma forma, quando a MGM Resorts sofreu uma violação, um invasor utilizou engenharia social contra a central de atendimento para redefinir credenciais — nenhuma credencial foi obtida por phishing ou roubada. Embora as organizações estejam certas em implementar autenticação resistente a phishing, elas precisam de outros controles para garantir inscrição segura, proteger contra malware, e Acabar com as fraudes no suporte técnico.
- Procure soluções sem senha que ofereçam todas as funcionalidades. A autenticação sem senha funciona melhor quando é adequada para todos e em todos os ambientes. Órgãos governamentais, instituições financeiras e organizações que exigem alto nível de segurança devem priorizar soluções sem senha capazes de oferecer suporte à nuvem, ao login em desktops e aos data centers. Essas soluções também devem oferecer agilidade para atender a diversos casos de uso do mundo real, como acesso offline e estações de trabalho compartilhadas, além de flexibilidade para serem implantadas em qualquer lugar, incluindo ambientes SaaS, nuvem privada, locais e isolados (air-gapped).
Entre em contato com a RSA para saber mais sobre como oferecemos suporte à autenticação sem senha para serviços financeiros e governo. Ou experimente RSA ID Plus para saber como implementamos o acesso sem senha e outras soluções em ambientes de nuvem, híbridos e locais.
O Pass-ta-key é um conjunto de três ataques descobertos pela Unit 42 da Palo Alto Networks que permite que um malware já em execução em um dispositivo Windows abuse das chaves de acesso sincronizadas do Gerenciador de Senhas do Google. Os ataques não violam a criptografia das chaves de acesso. Eles exploram vulnerabilidades na forma como o Chrome e o autenticador em nuvem do Google lidam com a confiança no dispositivo, o recadastramento e a recuperação.
Um malware que tenha se instalado em um dispositivo Windows comprometido pode se passar por uma fonte confiável, registrar uma chave de verificação fraudulenta ou, no caso mais grave, extrair a chave mestra que criptografa todas as senhas sincronizadas com uma conta do Google. Para isso, é necessário que o dispositivo já esteja infectado; as senhas ainda resistem às tentativas comuns de phishing.
As chaves de acesso resistentes a phishing, baseadas em hardware ou vinculadas ao dispositivo permanecem seguras para uso corporativo. As chaves de acesso sincronizadas, que copiam o material da chave privada entre dispositivos por meio de um segredo compartilhado na nuvem, introduzem um ponto de falha compartilhado que as empresas devem evitar no que diz respeito à força de trabalho e às contas com privilégios.
As chaves de acesso sincronizadas copiam o material da chave privada criptografada para uma conta na nuvem, de modo que a mesma credencial funcione em vários dispositivos. As chaves de acesso vinculadas ao dispositivo, como aquelas emitidas por meio de Autenticador RSA, e chaves de acesso baseadas em hardware, como a Chave RSA iShield 2, nunca saiam do dispositivo ou do token que os criou.
Não. O Pass-ta-key requer que haja um malware já em execução no dispositivo da vítima; não se trata de um ataque de phishing. As chaves de acesso continuam a oferecer resistência ao phishing de credenciais. A pesquisa mostra que a resistência ao phishing, por si só, não protege contra um dispositivo que já esteja comprometido, e é por isso que a detecção de ameaças no nível do endpoint é importante, juntamente com a autenticação.
O RSA evita totalmente o uso de chaves de acesso sincronizadas. Autenticador RSA vincula as chaves de acesso a um único dispositivo cadastrado, e o Chave RSA iShield 2 As credenciais de root estão armazenadas em hardware FIDO2 dedicado; portanto, não há nenhum segredo compartilhado na nuvem que possa ser roubado. Bloqueio móvel RSA incorpora a detecção de malware e outras ameaças diretamente no próprio dispositivo, preenchendo a lacuna que as credenciais resistentes a phishing, por si só, não conseguem cobrir.
