Pesquisadores da Unit 42, uma unidade de inteligência da Palo Alto Networks, identificaram três novos métodos que podem permitir que software malicioso contorne a proteção das chaves de acesso (passkeys) armazenadas no Gerenciador de Senhas do Google no Chrome para Windows.
Estes ataques, nomeados Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key, não violam a criptografia da própria tecnologia, mas exploram vulnerabilidades na forma como a autenticação e as credenciais do usuário são gerenciadas pelo navegador.
Segundo os pesquisadores, todos os cenários dependem de uma condição importante: o computador da vítima já deve estar infectado com malware. No entanto, dois desses métodos podem dar aos invasores acesso persistente às contas das vítimas, mesmo depois que elas perderem o acesso ao dispositivo original.
No início de agosto, a pesquisa não revelou exemplos ativos de exploração ou vulnerabilidades registradas no Banco de Dados de Vulnerabilidades do National Vulnerability Database (NVD).
O primeiro método, chamado Pass-ta-key, permite que o software malicioso utilize a identificação criptográfica protegida por TPM para solicitar autenticação válida sem a necessidade de inserir um PIN, biometria ou qualquer interação do usuário. No entanto, este método não ativa o indicador User Verified (UV), que notifica o serviço online sobre a confirmação pessoal da autenticação pelo usuário. A eficácia deste ataque, segundo os pesquisadores, depende da implementação de cada plataforma específica.
Durante os testes, o GitHub rejeitou corretamente as tentativas de autenticação, exigindo a verificação deste indicador. Ao mesmo tempo, o eBay aceitou esses acessos antes de receber informações da Unit 42 e corrigiu o problema.
A segunda técnica, Silver Pass-ta-key, utiliza o processo de registro de dispositivos no Gerenciador de Senhas do Google. De acordo com a pesquisa, o software malicioso força o Chrome a registrar novamente o computador e usa uma etapa intermediária desse processo para instalar uma chave de verificação controlada pelo invasor. Se o serviço online aceitar essa nova chave como válida, o atacante poderá continuar acessando a conta da vítima a partir de outro computador, mesmo que o dispositivo original se torne inacessível. A análise do código aberto do Chromium confirma a existência deste estado temporário durante o processo de registro, que pode ser explorado antes da conclusão da verificação de hardware.
A técnica considerada mais perigosa foi denominada Golden Pass-ta-key. Ao ser utilizada, o software malicioso tenta extrair da memória do Chrome o chamado Security Domain Secret (SDS) — um segredo criptográfico de 32 bytes usado para descriptografar todas as chaves de acesso sincronizadas na conta Google. De acordo com a Unit 42, obter esse segredo permite restaurar tanto as chaves de acesso existentes quanto as futuras criadas na mesma conta.
Os pesquisadores explicam que o Google havia removido anteriormente o vazamento desse segredo em logs internos relacionados ao protocolo FIDO. No entanto, a informação é temporariamente carregada na memória do navegador durante o registro e restauração de dispositivos, o que permite que o software malicioso, já em execução no computador, a capture.
Outro aspecto levantado na pesquisa é que a documentação pública do Gerenciador de Senhas do Google permite alterar o PIN ou excluir todas as chaves de acesso salvas, mas não fornece informações sobre o mecanismo de revogação ou substituição do Security Domain Secret em caso de comprometimento.
De acordo com a Unit 42, após a divulgação responsável dos resultados, algumas medidas foram tomadas. O eBay começou a verificar corretamente o indicador User Verified, prevenindo o primeiro ataque. O Google removeu a exposição do Security Domain Secret dos logs internos do Chrome.
Apesar disso, até o início deste mês, não houve confirmação pública de que todos os métodos descritos pelos pesquisadores foram totalmente mitigados, nem havia informações sobre as versões específicas do Chrome afetadas.
Apesar dos problemas descobertos, a Unit 42 afirma que as chaves de acesso permanecem significativamente mais seguras do que as senhas tradicionais contra ataques de phishing e reutilização de credenciais. Os pesquisadores enfatizam que o problema não reside na criptografia da tecnologia em si, mas na infraestrutura responsável pelo gerenciamento de dispositivos e sincronização de credenciais quando o computador já está comprometido por malware.
Como medidas de proteção, a equipe recomenda que os serviços online exijam obrigatoriamente a verificação do indicador User Verified, reforcem a verificação de hardware durante o registro de dispositivos, fortaleçam os mecanismos de recuperação de contas e reduzam a exposição de informações confidenciais na memória e nos logs internos do navegador.
