- Palo Alto Networks傘下のUnit 42が、Googleのパスキーを狙う3種類の攻撃手法を詳しく解説
- 攻撃には事前のマルウェア感染が必要。被害者になりすます手法から、同期パスキーを保護するマスターシークレットを盗み出す手法まで幅広い
- 開示を受けてGoogleは修正を実施。eBayなど一部サービスは自ら脆弱性を修正
Palo Alto Networks傘下のUnit 42のセキュリティ研究者らが、Googleのパスキーシステムを悪用し、PINや生体認証で保護されたアカウントにログインする3つの手法を発見しました。
研究者らはこれらの手法に「Pass-ta-key」「Silver Pass-ta-key」「Golden Pass-ta-key」という名前を付けており、後になるほど危険度が高くなっています。
非常に危険に聞こえますが、この攻撃手法には大きな注意点があり、すでに一部の穴はふさがれています。
誤ったデバイスを信頼してしまう問題
最大の注意点は、事前に被害者のデバイスがマルウェアに感染している必要があるという点です。マルウェアはセッションCookieの窃取から機密データの持ち出しまであらゆることが可能なため、デバイスがマルウェアに汚染されている時点で、すでに深刻な状態にあると言えます。
それでも、Unit 42の発見はGoogleが修正を行うに値するほど重要なものでした。
1つ目の手法では、攻撃者は被害者になりすまします。マルウェアを使うことで、あたかも被害者本人であるかのようにGoogleに対してパスキー保護されたアカウントへのログインを「要求」できてしまいます。通常であれば、ログイン先のサービスはリクエストの真正性を確認するためにPINや指紋認証を要求するはずですが、このシナリオではそれが機能しませんでした。
ただし、この手法はどこでも通用するわけではありません。Unit 42はGitHubでこの攻撃を再現できませんでしたが、eBayでは成功しました。なお、eBay側は後にこの問題を修正しています。
2つ目の攻撃では、Unit 42は脅威アクターのデバイスをGoogleに「信頼」させることに成功しました。つまり、被害者のコンピューターが不要になるということです。
3つ目の攻撃では、研究者らは「マスターキー」の窃取に成功しました。
Google Password Managerはデバイス間でパスキーを同期させる際に、同期される全パスキーを保護するマスターシークレットを使用しています。研究者らは、特定の条件下ではChromeがこのマスターシークレットを一時的に使用している間にマルウェアがそれを取得できることを発見しました。これにより、同期された全パスキーのロックが解除され、別のコンピューターにコピーされたうえで、後日それらを使用されてしまう恐れがあります。
研究者らは公表前にこの発見をGoogleに開示しており、一部の修正はすでに実施済みです。Googleはこの発見についてまだコメントしておらず、すべての脆弱性への対応が完了したかどうかは確認されていません。
