Σύνοψη
- Η ομάδα κυβερνοασφάλειας Unit 42 της Palo Alto Networks ανακάλυψε μια νέα κατηγορία επιθέσεων, με την ονομασία "Pass-ta-key", η οποία στοχεύει τα συγχρονισμένα passkeys που διαχειρίζεται το Google Password Manager στον περιηγητή Chrome για περιβάλλοντα Windows.
- Βασική προϋπόθεση για την επιτυχή εκτέλεση της επίθεσης είναι ο υπολογιστής του θύματος να έχει ήδη μολυνθεί από κακόβουλο λογισμικό, το οποίο λειτουργεί σιωπηλά στο παρασκήνιο χωρίς να απαιτεί δικαιώματα διαχειριστή.
- Η επίθεση κλιμακώνεται σε τρία επίπεδα πολυπλοκότητας (Standard, Silver, Golden), με την πιο καταστροφική εκδοχή (Golden Pass-ta-key) να επιτρέπει την πλήρη, μαζική εξαγωγή της βάσης δεδομένων των συγχρονισμένων passkeys απευθείας από τη μνήμη λειτουργίας του browser.
- Αν και τα passkeys παραμένουν σημαντικά πιο ανθεκτικά από τους παραδοσιακούς κωδικούς πρόσβασης, ειδικά απέναντι σε επιθέσεις υποκλοπής στοιχείων, η συγκεκριμένη τεχνική έρευνα αποδεικνύει περίτρανα ότι η ασφάλεια του τερματικού σημείου αποτελεί τον πιο κρίσιμο παράγοντα για την προστασία των ψηφιακών λογαριασμών.
Η υιοθέτηση των passkeys ως της πρωταρχικής μεθόδου ελέγχου ταυτότητας χωρίς κωδικό πρόσβασης έχει δικαιολογημένα προβληθεί ως μια θεμελιώδης αναβάθμιση στην αρχιτεκτονική της κυβερνοασφάλειας, αντικαθιστώντας τους συχνά ευάλωτους χαρακτήρες κειμένου με εξαιρετικά ασφαλή κρυπτογραφία δημόσιου κλειδιού. Καθώς οι τεχνολογικοί κολοσσοί ενσωματώνουν ταχύτατα αυτή την τεχνολογία στα οικοσυστήματά τους, η Google έχει πρωτοστατήσει μέσω του Google Password Manager, επιτρέποντας τον απρόσκοπτο συγχρονισμό των passkeys μεταξύ διαφορετικών συσκευών του ίδιου χρήστη για τη διασφάλιση της μέγιστης ευκολίας χρήσης.
Ωστόσο, μια νέα έρευνα που δημοσιεύτηκε από την εξειδικευμένη ομάδα κυβερνοασφάλειας Unit 42 της εταιρείας Palo Alto Networks, έρχεται να υπενθυμίσει στους διαχειριστές πληροφοριακών συστημάτων και στους τελικούς χρήστες ότι καμία αρχιτεκτονική λογισμικού δεν μπορεί να θεωρηθεί απολύτως άτρωτη, ειδικά όταν το ίδιο το λειτουργικό περιβάλλον του χρήστη έχει ήδη παραβιαστεί.
Οι ερευνητές της εταιρείας ανέπτυξαν, ανέλυσαν και τεκμηρίωσαν με ακρίβεια μια σειρά από καινοτόμες τεχνικές υποκλοπής με την παιγνιώδη κωδική ονομασία "Pass-ta-key". Οι συγκεκριμένες μέθοδοι εκμεταλλεύονται πολύ συγκεκριμένες αδυναμίες στον τρόπο με τον οποίο ο Google Chrome διαχειρίζεται τα κρυπτογραφικά κλειδιά στα λειτουργικά συστήματα Windows, επιτρέποντας σε κακόβουλα λογισμικά να παρακάμψουν όλα τα θεωρητικά ανυπέρβλητα εμπόδια που προσφέρουν τα passkeys, όπως είναι ο έλεγχος βιομετρικών δεδομένων και η επιβεβαίωση της φυσικής παρουσίας του χρήστη κατά τη διάρκεια της ταυτοποίησης.
Η προαπαιτούμενη συνθήκη και το στάδιο της αναγνώρισης
Είναι κρίσιμο να διασαφηνιστεί εξαρχής ότι η συγκεκριμένη κατηγορία επιθέσεων δεν αφορά την παραβίαση κάποιας απομακρυσμένης υποδομής cloud servers, ούτε την ανακάλυψη μιας εγγενούς ευπάθειας στο ίδιο το αυστηρό πρωτόκολλο WebAuthn. Αντιθέτως, η μεθοδολογία προϋποθέτει την προηγούμενη μόλυνση του υπολογιστή του θύματος με κάποιας μορφής κακόβουλο λογισμικό.
Όταν ένας υπολογιστής με λειτουργικό σύστημα Windows πέσει θύμα μόλυνσης, το εγκατεστημένο malware έχει τη δυνατότητα να ξεκινήσει μια διαδικασία σιωπηλής αναγνώρισης του τοπικού περιβάλλοντος, συλλέγοντας πολύτιμες πληροφορίες χωρίς να απαιτούνται καν δικαιώματα διαχειριστή. Σε αυτή τη φάση, την οποία οι ερευνητές της Unit 42 ονομάζουν χαρακτηριστικά "Stage Zero", το κακόβουλο λογισμικό εστιάζει στην εντόπιση των δεδομένων συγχρονισμού του Google Chrome.
Συγκεκριμένα, ο κώδικας αναζητά τα αρχεία που αποθηκεύονται στη διαδρομή συστήματος (%LocalAppData%\Google\Chrome\User Data\<Profile>\Sync Data\LevelDB), όπου ο browser διατηρεί τα πρωτόκολλα WebauthnCredentialSpecifics μέσα σε δομές δεδομένων επιπέδου LevelDB. Η απλή ανάγνωση αυτών των αρχείων προσφέρει στον επιτιθέμενο έναν πλήρη, αναλυτικό κατάλογο με τις διαδικτυακές υπηρεσίες στις οποίες ο χρήστης χρησιμοποιεί passkeys, τα ονόματα των λογαριασμών του, τα αναγνωριστικά των διαπιστευτηρίων, καθώς και το κρυπτογραφημένο ιδιωτικό κλειδί, δημιουργώντας ουσιαστικά τον απόλυτο χάρτη στόχων για τα επόμενα επιθετικά στάδια.
Standard Pass-ta-key: Η σιωπηλή κλωνοποίηση της ταυτότητας συσκευής
Η πρώτη μέθοδος που τεκμηρίωσε αναλυτικά η ομάδα εστιάζει στην άμεση παράκαμψη της απαίτησης για την ενεργή, συνειδητή συμμετοχή του χρήστη, ανατρέποντας τη θεμελιώδη αρχή λειτουργίας που θέλει τον ιδιοκτήτη της συσκευής να εγκρίνει χειροκίνητα την κάθε προσπάθεια σύνδεσης.
Σε μια απόλυτα φυσιολογική ροή εργασίας, όταν ο Chrome καλείται να υπογράψει ένα κρυπτογραφικό αίτημα ταυτοποίησης, χρησιμοποιεί τα κλειδιά που υποστηρίζονται άμεσα από το υλικό της συσκευής (όπως το τσιπ Trusted Platform Module ή TPM) για να αποδείξει με μαθηματική βεβαιότητα στο cloud authenticator ότι η αίτηση προέρχεται από μια αξιόπιστη, γνώριμη φυσική συσκευή. Ωστόσο, κατά τη λειτουργία του στο οικοσύστημα των Windows, ο Chrome καλεί τη συνάρτηση NcryptCreatePersistedKey του Windows Cryptography API (CNG) χωρίς να της αντιστοιχίζει κάποιο συγκεκριμένο όνομα, καθιστώντας το κλειδί εφήμερο.
Στη συνέχεια, μέσω της κλήσης της συνάρτησης NcryptExportKey, το σύστημα λαμβάνει εντολή να εξαγάγει το κλειδί σε μια κρυπτογραφημένη μορφή blob (NCRYPT_OPAQUE_KEY_BLOB), η οποία αποθηκεύεται προσωρινά στον δίσκο ως αρχείο «wrapped_identity_private_key». Το κακόβουλο λογισμικό που βρίσκεται ήδη εγκατεστημένο στο σύστημα μπορεί εξαιρετικά εύκολα να εξαγάγει αυτό το αρχείο από τον σκληρό δίσκο ή απευθείας από τη μνήμη του browser. Έχοντας αποκτήσει αυτό το αρχείο, ο απομακρυσμένος επιτιθέμενος είναι πλέον σε θέση να χρησιμοποιήσει τα τυπικά API κρυπτογραφίας των Windows για να δημιουργήσει έγκυρες ψηφιακές υπογραφές.
Αυτές οι υπογραφές ξεγελούν το κεντρικό σύστημα ταυτοποίησης, πείθοντας το ότι το αίτημα σύνδεσης προέρχεται από τον ίδιο τον νόμιμο χρήστη, χωρίς να ενεργοποιηθεί καμία απολύτως προειδοποίηση ή ένδειξη στην οθόνη του θύματος. Είναι ιδιαίτερα αξιοσημείωτο ότι η συγκεκριμένη μέθοδος αποδείχθηκε άμεσα επιτυχής σε ευρέως γνωστές πλατφόρμες όπως το eBay, οι οποίες κατά την περίοδο της έρευνας δεν προχωρούσαν σε αυστηρή, διαρκή επαλήθευση της κρίσιμης παραμέτρου User Verification (UV).
Silver Pass-ta-key: Παρακάμπτοντας τους βιομετρικούς ελέγχους
Προχωρώντας ένα επίπεδο παραπέρα στην τεχνική πολυπλοκότητα, η δεύτερη τεχνική που ονομάστηκε «Silver Pass-ta-key» έχει σχεδιαστεί ειδικά για να αντιμετωπίζει διαδικτυακές υπηρεσίες που απαιτούν αισθητά αυστηρότερους ελέγχους επαλήθευσης, όπως είναι η εισαγωγή δακτυλικού αποτυπώματος, η οπτική αναγνώριση προσώπου ή η καταχώρηση ενός κωδικού PIN μέσω του συστήματος Windows Hello.
Αυτή η εξελιγμένη τεχνική στηρίζεται αποκλειστικά στη χειραγώγηση της κατάστασης επικοινωνίας μεταξύ του μολυσμένου υπολογιστή και του Google Cloud Authenticator. Μέσα από συγκεκριμένες, στοχευμένες παρεμβολές στις διεργασίες του συστήματος, το κακόβουλο λογισμικό καταφέρνει να διατηρήσει την τοπική υποδομή ταυτοποίησης σε μια διαρκή κατάσταση αναμονής, εξαπατώντας ουσιαστικά το password manager ώστε να θεωρήσει εσφαλμένα ότι η απαιτούμενη διαδικασία βιομετρικής επαλήθευσης έχει ήδη ολοκληρωθεί με απόλυτη επιτυχία.
Όσο το σύστημα παραμένει εγκλωβισμένο σε αυτή την εκκρεμή, εξαιρετικά ευάλωτη κατάσταση, ο κώδικας του επιτιθέμενου έχει στη διάθεση του το απαραίτητο χρονικό περιθώριο για να εγγράψει και να νομιμοποιήσει τα δικά του, αυθαίρετα κρυπτογραφικά κλειδιά εντός του συστήματος. Το άμεσο, πρακτικό αποτέλεσμα αυτής της παρεμβολής είναι ότι ο επιτιθέμενος δημιουργεί μια σιωπηλή, μόνιμη «κερκόπορτα», εξασφαλίζοντας ότι οποιαδήποτε μελλοντική προσπάθεια σύνδεσης στις υπηρεσίες του χρήστη δεν θα απαιτήσει καμία απολύτως διαδραστική αλληλεπίδραση με τη φυσική συσκευή του θύματος, διατηρώντας έτσι πλήρη και αδιάλειπτη πρόσβαση στον παραβιασμένο ψηφιακό λογαριασμό.
Golden Pass-ta-key: Η ολική υποκλοπή της βάσης δεδομένων
Η πιο καταστροφική εκδοχή των ευρημάτων της εκτενούς έρευνας της Unit 42 αφορά την τρίτη και τελευταία μέθοδο, την οποία οι ερευνητές ονόμασαν δικαιολογημένα «Golden Pass-ta-key», καθώς η εφαρμογή της οδηγεί αναπόφευκτα στην πλήρη, μαζική υποκλοπή όλων ανεξαιρέτως των διαθέσιμων διαπιστευτηρίων. Η συγκεκριμένη προηγμένη τεχνική εκμεταλλεύεται μια εξαιρετικά λεπτή και ταυτόχρονα κρίσιμη αδυναμία στον τρόπο με τον οποίο ο Google Chrome διαχειρίζεται τα υπερευαίσθητα κρυπτογραφικά δεδομένα κατά την ενεργή λειτουργία του.
Το επίκεντρο του τεχνικού προβλήματος εντοπίζεται στον πυρήνα της διαδικασίας κρυπτογράφησης των δεδομένων συγχρονισμού, η οποία είναι ευρύτερα γνωστή στον κλάδο ως Sync Device Signature (SDS). Οι ερευνητές κυβερνοασφάλειας ανακάλυψαν ότι, κατά τη διάρκεια της εκτέλεσης του Chrome, πολύτιμες πληροφορίες που αφορούν τη δομή του SDS διαρρέουν σταθερά και παραμένουν επικίνδυνα εκτεθειμένες τόσο στο κεντρικό σύστημα καταγραφής συμβάντων του browser όσο και στην ίδια τη δυναμική μνήμη της ενεργής διεργασίας. Ακόμη και έπειτα από τις εσωτερικές προσπάθειες των μηχανικών της Google να ελαχιστοποιήσουν ή να αφαιρέσουν πλήρως αυτά τα ίχνη από τα στατικά αρχεία καταγραφής, τα καθαρά δεδομένα συνεχίζουν να υφίστανται εντός της μνήμης των διεργασιών.
Ένα εξειδικευμένο malware μπορεί να προχωρήσει σε μια ταχύτατη μαζική εξαγωγή της μνήμης του Chrome, συλλέγοντας ουσιαστικά την πλήρη, αποκρυπτογραφημένη βάση δεδομένων με όλα τα συγχρονισμένα passkeys του εκάστοτε χρήστη. Το πλέον ανησυχητικό τεχνικό στοιχείο αυτής της μεθόδου είναι ότι το κλεμμένο SDS λειτουργεί στην πράξη ως ένα καθολικό κλειδί απο-κρυπτογράφησης, επιτρέποντας στους εγκληματίες του κυβερνοχώρου όχι μόνο να αποκτήσουν απρόσκοπτη πρόσβαση στα υπάρχοντα διαπιστευτήρια, αλλά και να αποκρυπτογραφούν άμεσα και εντελώς αυτοματοποιημένα οποιοδήποτε νέο passkey επιλέξει να δημιουργήσει ο χρήστης στο μέλλον μέσω του Google Password Manager.
Η άποψη του Techgear
Η εκτενής αποκάλυψη της επιθετικής αρχιτεκτονικής "Pass-ta-key" δεν έρχεται για να ακυρώσει σε καμία περίπτωση τη χρησιμότητα και την αναγκαιότητα των passkeys. Τα συγκεκριμένα διαπιστευτήρια εξακολουθούν αναμφίβολα να προσφέρουν συντριπτικά υψηλότερη προστασία σε σύγκριση με τους παραδοσιακούς κωδικούς πρόσβασης, καθώς εξαλείφουν πλήρως τον κίνδυνο των μαζικών διαρροών από εταιρικές βάσεις δεδομένων και καθιστούν πρακτικά αδύνατες τις αυτοματοποιημένες επιθέσεις ηλεκτρονικού «ψαρέματος».
Ωστόσο, η έρευνα της Unit 42 λειτουργεί ως μια ιδιαίτερα αυστηρή υπενθύμιση ότι το τεχνολογικό βάρος της ψηφιακής ασφάλειας έχει πλέον μετατοπιστεί σχεδόν αποκλειστικά στην προστασία του τερματικού σημείου του χρήστη. Η συνεχιζόμενη πρακτική της χρήσης ανεπίσημων, «σπασμένων» λογισμικών, που παραδοσιακά αποτελούν τους κύριους φορείς μετάδοσης τέτοιων αθόρυβων, παρασκηνιακών malware, μπορεί πλέον να οδηγήσει σε ολοκληρωτική και ανεπανόρθωτη απώλεια της ψηφιακής ταυτότητας.
Καθώς αναμένουμε τα επόμενα βήματα και τις απαραίτητες διορθωτικές ενημερώσεις λογισμικού (patches) από τη μεριά των μηχανικών της Google για την περαιτέρω θωράκιση του Chrome και του εσωτερικού συστήματος διαχείρισης κωδικών, η διατήρηση ενός «καθαρού», νόμιμου και διαρκώς ενημερωμένου λειτουργικού συστήματος παραμένει η μοναδική ρεαλιστική και αξιόπιστη ασπίδα προστασίας απέναντι σε αυτές τις εξαιρετικά προηγμένες τεχνικές υποκλοπής.
