Sicherheitsfirma deckt drei neue Angriffsmethoden auf Passkey auf

Das Cybersicherheitsunternehmen Palo Alto Networks hat drei neue Methoden zur Ausnutzung von Schwachstellen in Passkey-Systemen aufgedeckt. Diese von den Forschern als "Pass-ta-key" bezeichneten Angriffe zielen speziell auf Passkeys ab, die über den Google Passwort-Manager synchronisiert werden, und können zur Übernahme von Konten führen.

Die aufgedeckten Angriffe nutzen Sicherheitslücken in den Prozessen der Geräteregistrierung, der Kontowiederherstellung und der Synchronisierung aus. Entscheidend ist, dass diese Angriffe voraussetzen, dass der Angreifer bereits die Kontrolle über den Windows-Computer des Opfers durch Schadsoftware erlangt hat. Die erste Methode nutzt den TPM-basierten Geräteidentitätsschlüssel von Chrome aus, indem sie sich als vertrauenswürdiges Windows-Gerät ausgibt, um Authentifizierungsantworten vom Google-Cloud-Authentifizierungsdienst anzufordern, ohne dass eine Benutzerüberprüfung oder gar das Entsperren des Computers erforderlich ist.

Der zweite Angriff, "Silver Pass-ta-key" genannt, beinhaltet, dass die Malware den aktuellen Passkey-Status in Chrome löscht oder beschädigt, was den Browser zwingt, den Registrierungsprozess des Geräts erneut zu initiieren. Während dieser Neu­registrierung gibt die Malware einen vom Angreifer kontrollierten Verifizierungsschlüssel ein. Dies kann dazu führen, dass Websites umgangen werden, die korrekterweise eine PIN- oder biometrische Verifizierung verlangen. Anschließend können Angreifer von anderen Geräten aus authentifizieren.

Die dritte Methode, "Golden Pass-ta-key", zielt auf den Security Domain Secret Key ab, den der Google Passwort-Manager verwendet, um alle synchronisierten Passkeys zu verschlüsseln. Obwohl Google Berichten zufolge diesen Schlüssel nach Benachrichtigung aus sensiblen Protokollen entfernt hat, vermuten Forscher, dass er sich möglicherweise noch vorübergehend im Arbeitsspeicher von Chrome befinden könnte. Angreifer könnten diesen Schlüssel extrahieren, synchronisierte Passkey-Daten entschlüsseln und die entsprechenden privaten Schlüssel auf ein anderes Gerät übertragen, um das Opfer zu imitieren.

Obwohl die Forscher diese Erkenntnisse vor der öffentlichen Bekanntgabe privat an Google gemeldet haben und Google wahrscheinlich Schritte zur Behebung unternommen hat, ist das genaue Ausmaß der Korrekturen noch nicht öffentlich bestätigt. Diese Forschung unterstreicht, dass Passkeys trotz der erhöhten Sicherheit im Vergleich zu herkömmlichen Passwörtern anfällig bleiben, wenn das Gerät, das die Anmeldeinformationen verwaltet, durch Schadsoftware kompromittiert wird.

Sicherheitsexperten empfehlen, dass Websites die Benutzerüberprüfung bei der Verwendung von Passkeys erzwingen und dass Passwort-Manager die Vertrauenswürdigkeit neuer Geräte-Schlüssel überprüfen. Entwickler sollten außerdem die Prozesse für die Wiederherstellung und Neu­registrierung von Geräten stärken und die Zeit minimieren, in der sensible Verschlüsselungsschlüssel im Arbeitsspeicher des Browsers verbleiben.