Unit 42 обнаружила уязвимости в защите ключей доступа браузера Chrome

Эксперты по кибербезопасности из Unit 42, подразделения Palo Alto Networks, идентифицировали три новых способа компрометации синхронизируемых ключей доступа, известных как passkeys, на устройствах с операционной системой Windows. Эти уязвимости позволяют вредоносному программному обеспечению обойти механизмы защиты, такие как запросы на ввод PIN-кода и биометрическую аутентификацию.

Методы, получившие названия Pass-TA-Key, Silver Pass-TA-Key и Golden Pass-TA-Key, нацелены на менеджер паролей Google в браузере Chrome, особенно на устройства с модулем безопасности Trusted Platform Module (TPM). Атаки не нарушают криптографические механизмы ключей доступа, но эксплуатируют недостатки в локальном хранении данных, проверке доверия устройства и повторной регистрации в облачном сервисе Google.

Эксплуатация уязвимости начинается с заражения компьютера вредоносным ПО. Исследование показало, что Chrome хранит метаданные синхронизируемых учетных данных в локальной базе данных LevelDB без шифрования. Это позволяет злоумышленникам определить, на каких платформах пользователь применяет ключи доступа, а затем получить защищенный идентификационный ключ через модуль TPM и отправить запрос к облачному аутентификатору Google, обходя дополнительные проверки.

Более сложные варианты атак обеспечивают постоянный доступ. При использовании метода Silver Pass-TA-Key вредоносная программа инициирует повторную регистрацию устройства, подменяя ключ проверки пользователя. Самый опасный метод, Golden Pass-TA-Key, позволяет украсть главный ключ Security Domain Secret (SDS) из памяти процесса Chrome, что дает возможность расшифровать все синхронизируемые ключи доступа. Хотя Google уже устранила проблему с записью SDS во внутренние журналы FIDO, мастер-ключ все еще временно находится в памяти процесса Chrome, и в настоящее время отсутствует механизм его ротации или отзыва.