Prošlog tjedna, istraživač je iznio ono što je nazvao “novom površinom napada” u passkeys, novom paradigmi autentifikacije koja nudi sigurniju alternativu od metoda temeljenih na lozinkama. Napadi prikazani u objavi nisu ni novi ni jedinstveni za passkeys, što stvara zabunu među korisnicima i stručnjacima za sigurnost dok procjenjuju je li ovaj novi mehanizam zaista siguran za korištenje.
Napad se naziva Pass-ta-key, spoj riječi passkey i fraze “pass the key” uz asocijaciju na tanjur tjestenine. Arie Olshtein, istraživač u sigurnosnoj tvrtki Palo Alto Networks, opisao je prošlog tjedna kako Pass-ta-key može dobiti sve passkeys pohranjene u Google Password Manager aplikaciji (GPM) za Windows kada radi na računalu zaraženom zloćudnim softverom.
Ovo je iznenadilo mnoge jer su vjerovali da su passkeys pohranjeni isključivo u upravitelju pouzdanih platformi (TPM), zaključanom prostoru unutar čipa koji je rezerviran za pohranu kriptografskih ključeva i drugih osjetljivih informacija na Windows uređajima. Ako se passkeys pohranjuju u TPM, kako je Pass-ta-key mogao izvući cijeli skup passkeys pohranjenih od strane aplikacije?
Odgovor je da, suprotno uvriježenom mišljenju, FIDO 2 specifikacije, kojima upravlja industrijska grupa FIDO Alliance, ne nalažu da passkeys moraju biti pohranjeni u TPM-ima ili bilo kojem drugom namjenskom hardveru. U stvari, većina platformi i trećih strana za upravljanje passkeys ne pohranjuje ih u takvom hardveru. Virtually jedini izuzetak je Microsoft, koji korisnicima nudi mogućnost pohrane passkeys u Windows TPM, ali to uglavnom preporučuje poduzećima, a ne potrošačima.
Nepoznato mi do početka istraživanja za ovaj članak, sve platforme osim onih na Windows-u pohranjuju passkeys lokalno na uređaju. Premještaj na lokalnu pohranu dogodio se prije nekoliko godina nakon što su programeri OS-a i trećih strana shvatili da passkeys nemaju šanse za široku upotrebu osim ako se lako mogu sinkronizirati sa svim uređajima korisnika. Zahtijevanje pohrane u TPM učinilo je sinkronizaciju nemogućom.
U konačnici, arhitekti FIDO specifikacija odlučili su da je općenito sigurno pohranjivati passkeys na uređajima. Razmišljanje je bilo da su dopuštenja aplikacija toliko detaljna da zloćudni softver ne bi imao mogućnost pristupa privatnim ključevima koji čine srž sigurnosti passkey-a. Zloćudni softver instaliran na uređaju koji koristi macOS, iOS i Android, na primjer, nema mogućnost poraziti ovu izolaciju osim ako sam OS nije kompromitiran nekim egzotičnim zero-day eksploatom. Do sada su ove pretpostavke dokazano točne u stvarnoj praksi.
Jedini izuzetak je Windows. Za razliku od svih drugih platformi, Windows aplikacije obično rade s pravima korisnika, dok druge platforme potiču ograničavanje privilegija svake aplikacije prema zadanim postavkama. Iako Windows pruža neke zaštite izolacije dizajnirane za izolaciju aplikacija, ne sprječava neizolirane aplikacije kao što su zloćudni softver od pristupa podacima izolirane aplikacije. To znači da Windows zloćudni softver ima znatno manje problema s pristupom podacima koje koristi druga aplikacija.
