Le passkey erano state presentate come la soluzione definitiva ai problemi di sicurezza legati alle password tradizionali. Un sistema semplice che permette di eliminare le stringhe alfanumeriche da ricordare e sostituirle con una firma digitale sbloccata tramite dati biometrici, utilizzabile solo dai dispositivi autenticati dall’utente.
Ora, però, la fiducia accumulata dalle passkey comincia a vacillare. Un gruppo di ricercatori noto come Unit 42 ha infatti individuato alcune falle nel Password Manager di Google che, se sfruttate, permettono di aggirare proprio quei meccanismi di protezione che dovrebbero rendere le passkey inattaccabili. Il metodo, ribattezzato “Pass-ta-key“, ha già dimostrato di poter compromettere le passkey basate su Chrome.
Segui TuttoAndroid su Google Discover
Come funziona l’attacco
Secondo quanto riportato dai ricercatori, sono state individuate diverse tecniche capaci di ingannare i meccanismi di sicurezza. Il punto debole si trova nella fase finale del processo: alcuni siti web possono essere indotti a credere che la passkey dell’utente, generata tramite Chrome, sia autentica, quando in realtà è stata dirottata da un malintenzionato.
C’è però una condizione imprescindibile perché l’attacco funzioni. Il computer Windows preso di mira deve infatti essere già infettato da un malware. Un dispositivo pulito, insomma, non corre alcun rischio. Il problema nasce dunque dal fatto che un software malevolo può colpire le passkey nella fase di autenticazione, anche quando queste sono state create originariamente su una macchina non compromessa.
Segui Google su Telegram, ricevi news e offerte per primo
Le diverse varianti dell’attacco
I ricercatori hanno poi individuato più tecniche, tutte riconducibili al nome collettivo “Pass-ta-key”. La prima prevede la compromissione di un account protetto attraverso il malware presente sul dispositivo: la chiave di identità, anziché rimanere custodita nel modulo di sicurezza TPM che normalmente la protegge, viene esportata su disco. A quel punto il software malevolo riesce ad autenticarsi con il Password Manager di Google senza che l’utente se ne accorga o dia il proprio consenso.
Un secondo metodo, denominato “silver”, spinge la tecnica ad un livello di maggiore complessità, perché inganna il gestore delle password facendogli credere che l’utente abbia già sbloccato il dispositivo tramite riconoscimento biometrico. Il computer infetto viene mantenuto in una condizione di attesa, in cui il processo di verifica dell’identità non risulta mai realmente concluso. È proprio in questa fase sospesa che il malware può iniziare a registrare le proprie chiavi, così che ogni futura richiesta venga automaticamente approvata.
La variante più insidiosa, ribattezzata “golden”, è quella che secondo i ricercatori espone la maggiore quantità di dati sensibili. Il problema riguarda il processo di cifratura chiamato SDS, che finisce per lasciare tracce nel sistema di log di Chrome. Anche dopo che Google ha rimosso questa falla, alcune informazioni continuano a persistere nella memoria di processo del browser. Il malware consente pertanto di estrarre i dati semplicemente analizzando la memoria di Chrome, recuperando così l’intero archivio delle passkey sincronizzate dall’utente.
Le conseguenze più gravi
L’ultimo metodo scoperto da Unit 42 è considerato il più preoccupante, perché rende decifrabili con facilità anche tutte le passkey che verranno generate in futuro attraverso il Password Manager di Google. L’SDS sottratto funziona infatti come una sorta di chiave universale, capace di aggirare la protezione di ogni nuova passkey creata successivamente. L’unico modo per interrompere questa esposizione è generare un nuovo SDS da zero.
Il report precisa inoltre che il primo dei metodi descritti ha funzionato concretamente solo su eBay, poiché la piattaforma non verificava correttamente l’indicatore che segnala se il processo di verifica dell’utente fosse effettivamente avvenuto. Altri servizi coinvolti non sono stati resi noti pubblicamente, ma il gruppo di ricerca afferma di averli comunque contattati. Le altre tecniche individuate, invece, riescono ad aggirare completamente la fase di verifica dell’utente, rendendole potenzialmente più pericolose.
Ad ogni modo, nonostante la gravità delle scoperte, i ricercatori sottolineano che le passkey non sono diventate improvvisamente meno sicure delle password tradizionali. Anzi, continuano a eliminare un’ampia gamma di vulnerabilità tipiche dei vecchi sistemi basati su credenziali testuali. Il punto debole individuato riguarda specificamente la fase di configurazione iniziale e la gestione della memoria di processo di Chrome, aspetti che restano esposti solo in presenza di un’infezione malware già attiva sul dispositivo.