پسکیها ناامن شدن؟ ماجرای حملهٔ Pass-ta-key
گوگلخلاصهٔ کاملتر
هفتهٔ پیش آری اولشتاین، پژوهشگر شرکت Palo Alto Networks، تو یه پست از حملهای به اسم Pass-ta-key رونمایی کرد؛ اسمی که ترکیب passkey و عبارت pass the key هست. ادعاش این بود که یه سطح حملهٔ تازه تو پسکیها پیدا کرده و میتونه همهٔ پسکیهای ذخیرهشده تو اپلیکیشن Google Password Manager روی ویندوز رو بیرون بکشه — به شرطی که اون ویندوز از قبل به بدافزار آلوده باشه.
خبر برای خیلیها غافلگیرکننده بود، چون تصور عمومی اینه که پسکیها فقط تو TPM ذخیره میشن. ولی نویسندهٔ آرستکنیکا توضیح میده که مشخصات FIDO2 اصلاً چنین چیزی رو الزامی نکرده و بیشتر پلتفرمها و اپهای مدیریت پسکی سراغ سختافزار اختصاصی نمیرن. دلیلش هم همگامسازیه: اگه کلیدها تو TPM قفل میشدن، انتقالشون به دستگاه جدید عملاً غیرممکن میشد و پسکی هیچوقت فراگیر نمیشد.
استثنا ویندوزه. تو ویندوز اپها معمولاً با تمام دسترسیهای کاربر اجرا میشن و سندباکس فقط یه طرفه محافظت میکنه؛ یعنی یه اپ سندباکسنشده مثل بدافزار میتونه دادهٔ اپ سندباکسشده رو بخونه. برای همین توسعهدهندهها طراحی رو عوض کردن و پسکیها رو بهصورت بلابهای رمزنگاریشدهٔ سرتاسری روی سرور نگه میدارن — کاری که GPM و 1Password و Dashlane روی ویندوز انجام میدن.
بدافزار تو Pass-ta-key از همین دسترسی به حساب گوگل و در بعضی حالتها کلید کاربر یا دستگاه داخل TPM استفاده میکنه. قویترین نسخهٔ حمله کاری میکنه که ویندوزِ آلوده خودش رو بهجای یه آیفون جا بزنه؛ این کار قابلیت همگامسازی GPM رو فعال میکنه و کل پسکیها به دستگاه آلوده منتقل میشن.
جمعبندی نویسنده اینه که این حمله نه تازهست نه مخصوص پسکی. هر دستگاه آلودهای که به یه حساب حساس لاگین باشه همین ریسک رو داره و مهاجم میتونه از خود اپ مدیریت رمز، پسوردها رو هم دربیاره. هدف پسکی حذف رازِ مشترکیه که بشه فیش کرد یا از نشت سرور بهدست آورد، نه مقاومت در برابر دستگاهی که از قبل تسخیر شده.
نکات کلیدی:
- FIDO2 ذخیرهٔ پسکی تو TPM رو اجباری نکرده؛ عملاً فقط مایکروسافت این گزینه رو جلوی کاربر میذاره
- روی مک، iOS و اندروید پسکی محلی ذخیره میشه و سندباکس قوی جلوی بدافزار رو میگیره
- روی ویندوز، GPM و 1Password و Dashlane کلیدها رو رمزنگاریشده روی سرور نگه میدارن
- Pass-ta-key فقط روی ویندوزِ آلوده و لاگینشده جواب میده
- نویسنده میگه ارزش این پژوهش تو یادآوری همین نکتهست، نه تازگی حمله
