Une entreprise de sécurité dévoile trois nouvelles méthodes d'attaque contre les systèmes Passkey
Des chercheurs de Palo Alto Networks ont présenté trois nouvelles techniques d'attaque "Pass-ta-key" qui peuvent potentiellement compromettre les Passkeys synchronisés via le Gestionnaire de mots de passe Google, entraînant un détournement de compte.
L'entreprise de cybersécurité Palo Alto Networks a révélé trois nouvelles méthodes pour exploiter les vulnérabilités des systèmes Passkey. Baptisées "Pass-ta-key" par les chercheurs, ces attaques ciblent spécifiquement les Passkeys synchronisés via le Gestionnaire de mots de passe Google et pourraient conduire au détournement de comptes.
Les attaques dévoilées exploitent des failles de sécurité dans les mécanismes d'enregistrement des appareils, de récupération de compte et de synchronisation. De manière cruciale, ces attaques nécessitent que l'attaquant ait déjà obtenu le contrôle de l'ordinateur Windows de la victime via un logiciel malveillant. La première méthode utilise la clé d'identité d'appareil basée sur TPM de Chrome, en se faisant passer pour un appareil Windows de confiance afin de demander des réponses d'authentification au service d'authentification cloud de Google, sans nécessiter de vérification par l'utilisateur ni même le déverrouillage de l'ordinateur.
La deuxième attaque, nommée "Silver Pass-ta-key", implique que le logiciel malveillant supprime ou corrompt l'état actuel du Passkey dans Chrome, forçant le navigateur à réinitialiser le processus d'enregistrement de l'appareil. Lors de ce réenregistrement, le logiciel malveillant soumet une clé de vérification contrôlée par l'attaquant. Cela peut permettre de contourner les sites Web qui exigent correctement une vérification par code PIN ou biométrique, et par la suite, les attaquants peuvent s'authentifier depuis d'autres appareils.
La troisième méthode, "Golden Pass-ta-key", cible la clé de domaine de sécurité que Google Password Manager utilise pour chiffrer tous les Passkeys synchronisés. Bien que Google ait apparemment supprimé cette clé des journaux sensibles après avoir été informé, les chercheurs suggèrent qu'elle pourrait encore résider temporairement dans la mémoire du processus de Chrome. Les attaquants pourraient potentiellement extraire cette clé, déchiffrer les données Passkey synchronisées et transférer les clés privées correspondantes vers un autre appareil pour usurper l'identité de la victime.
Bien que les chercheurs aient signalé ces conclusions en privé à Google avant leur divulgation publique, et que Google ait probablement pris des mesures pour y remédier, l'étendue exacte de la correction n'est pas encore publiquement confirmée. Cette recherche souligne que, malgré la sécurité accrue des Passkeys par rapport aux mots de passe traditionnels, ils restent vulnérables si l'appareil gérant les identifiants est compromis par un logiciel malveillant.
Les experts en sécurité recommandent que les sites Web imposent une vérification de l'utilisateur lors de l'utilisation des Passkeys et que les gestionnaires de mots de passe vérifient la fiabilité des clés des nouveaux appareils enregistrés. Les développeurs devraient également renforcer les processus de récupération et de réenregistrement des appareils et minimiser le temps pendant lequel les clés de chiffrement sensibles restent dans la mémoire du navigateur.