Telset.id – Keamanan passkey yang disinkronkan melalui Google Password Manager di Chrome Windows ternyata bisa ditembus malware melalui tiga teknik serangan baru. Para peneliti keamanan dari Unit 42 menemukan celah yang memungkinkan perangkat yang terinfeksi memanfaatkan kelemahan pada infrastruktur di sekitar passkey, bukan pada kriptografi intinya.
Temuan yang diberi nama Pass-ta-key ini menargetkan pengguna Chrome di Windows yang dilengkapi Trusted Platform Module (TPM). Meskipun setiap serangan membutuhkan malware yang sudah berjalan di komputer korban, dampaknya bisa sangat serius, termasuk pencurian kunci utama yang mengenkripsi seluruh passkey.
Tiga Teknik Serangan Pass-ta-key
Teknik pertama memungkinkan malware menggunakan identitas perangkat TPM milik Chrome untuk meminta respons passkey yang valid dari autentikator cloud Google. Serangan ini tidak memerlukan hak administrator, pemindaian biometrik, PIN, atau interaksi dari korban. Layanan Google menganggap permintaan tersebut berasal dari komputer tepercaya dan mengembalikan respons autentikasi yang diperlukan untuk masuk.
Situs web seharusnya memeriksa flag yang mengonfirmasi bahwa pengguna telah memverifikasi identitas mereka. Unit 42 menemukan bahwa GitHub dengan benar menolak serangan ini, sementara eBay menerimanya meskipun seharusnya memerlukan verifikasi. eBay telah memperbaiki celah tersebut setelah para peneliti melaporkannya.
Teknik kedua, yang disebut Silver Pass-ta-key, lebih canggih. Serangan ini dapat memaksa Chrome untuk mendaftarkan kunci verifikasi yang dikendalikan oleh penyerang. Kunci tersebut kemudian dianggap sebagai bukti bahwa korban memasukkan PIN atau menggunakan biometrik, sehingga memungkinkan akses akun dari komputer lain setelah perangkat asli offline.
Ancaman Terbesar: Pencurian Kunci Master
Teknik Golden Pass-ta-key menargetkan kunci utama yang digunakan untuk mengenkripsi setiap passkey yang disinkronkan melalui akun Google. Peneliti awalnya menemukan bahwa Chrome mengekspos kunci ini dalam bentuk teks biasa melalui log FIDO internalnya. Google telah menghapusnya dari log setelah pengungkapan tersebut.
Namun, Unit 42 menyatakan kunci tersebut masih muncul sementara di memori proses Chrome selama pendaftaran perangkat atau pemulihan akun. Malware dapat mengekstraknya dan mendekripsi passkey korban yang tersinkronisasi. Kunci master yang dicuri berpotensi mengekspos passkey yang ada saat ini maupun yang akan datang.
Unit 42 menambahkan bahwa implementasi Google saat ini tidak menyediakan metode untuk memutar atau mencabut kunci rahasia tersebut setelah dikompromikan. Ini berarti korban yang terkena serangan Golden Pass-ta-key tidak memiliki opsi pemulihan yang jelas.
Baca Juga:
Para peneliti tidak memecahkan kriptografi di balik passkey. Mereka mengeksploitasi kelemahan pada kepercayaan perangkat, pemulihan akun, onboarding, dan cara layanan memverifikasi bahwa pengguna benar-benar membuka kunci perangkat mereka. Ini menunjukkan bahwa meskipun adopsi passkey terus meningkat, infrastruktur pendukungnya masih memiliki celah.
Passkey tetap jauh lebih aman terhadap phishing dan kebocoran kata sandi. Dokumentasi Google masih secara akurat menggambarkan keunggulan tersebut. Riset ini menunjukkan bahwa malware yang sudah berada di dalam komputer dapat menyerang infrastruktur di sekitar passkey, bukan passkey itu sendiri.
Bagi pengguna yang peduli keamanan, temuan ini menegaskan pentingnya menjaga perangkat tetap bersih dari malware. Meskipun teknologi autentikasi terus berkembang, keamanan perangkat tetap menjadi fondasi utama. Perangkat yang terinfeksi dapat menjadi pintu masuk bagi berbagai serangan, termasuk yang menargetkan passkey.
Komentar
Belum ada komentar.