Now Reading: นักวิจัยเตือน Passkeys ของ Google อาจถูกขโมยได้ หากเครื่องติดมัลแวร์
-
01
นักวิจัยเตือน Passkeys ของ Google อาจถูกขโมยได้ หากเครื่องติดมัลแวร์
แม้ Google จะผลักดันให้ Passkeys เป็นมาตรฐานใหม่สำหรับการยืนยันตัวตนแทนรหัสผ่านแบบเดิม ด้วยจุดเด่นที่ไม่สามารถฟิชชิงหรือคัดลอกไปใช้งานได้ง่าย แต่ผลการวิจัยล่าสุดกลับชี้ว่า ระบบนี้ยังมีช่องโหว่ที่อาจถูกโจมตีได้ หากอุปกรณ์ของผู้ใช้ติดมัลแวร์
ทีมนักวิจัยด้านความปลอดภัยได้เปิดเผยเทคนิคการโจมตีแบบใหม่ที่เรียกว่า Pass-ta-key มุ่งเป้าไปที่ Google Password Manager บนเบราว์เซอร์ Chrome สำหรับ Windows ที่รองรับ Trusted Platform Module (TPM) โดยการโจมตีทั้งหมดไม่ได้เกิดจากการเจาะระบบเข้ารหัสของ Passkeys แต่เป็นการอาศัยช่องโหว่ของกระบวนการยืนยันตัวตนและความน่าเชื่อถือของอุปกรณ์
มัลแวร์ปลอมตัวเป็นอุปกรณ์ที่เชื่อถือได้
การโจมตีรูปแบบแรกทำให้มัลแวร์สามารถปลอมตัวเป็นคอมพิวเตอร์ที่ผู้ใช้เคยยืนยันตัวตนไว้ แล้วขอข้อมูลสำหรับเข้าสู่ระบบจากเซิร์ฟเวอร์ของ Google ได้ โดยไม่ต้องให้ผู้ใช้สแกนลายนิ้วมือ ใช้ใบหน้า ใส่ PIN หรือกดอนุญาตใด ๆ
นักวิจัยพบว่า เว็บไซต์บางแห่งสามารถตรวจจับการโจมตีลักษณะนี้ได้ เช่น GitHub แต่บางเว็บไซต์ เช่น eBay เคยยอมรับการล็อกอินดังกล่าว ก่อนจะรีบอุดช่องโหว่หลังได้รับรายงาน
ด้วยเทคนิคขั้นสูงที่เรียกว่า Silver Pass-ta-key สามารถหลอกให้ Chrome ลงทะเบียนข้อมูลยืนยันตัวตนที่ผู้โจมตีควบคุมเอง ก่อนนำไปใช้ล็อกอินจากอุปกรณ์เครื่องอื่นได้ แม้เครื่องของเหยื่อจะไม่ได้ออนไลน์แล้วก็ตาม
ส่วนการโจมตีที่ร้ายแรงที่สุดคือ Golden Pass-ta-key ซึ่งพยายามขโมย “กุญแจหลัก” (Master Key) ที่ใช้เข้ารหัส Passkeys ทั้งหมดในบัญชี Google นักวิจัยระบุว่า แม้ Google จะอุดช่องโหว่บางส่วนแล้ว แต่คีย์ดังกล่าวยังคงปรากฏในหน่วยความจำของ Chrome ชั่วคราวระหว่างการลงทะเบียนหรือกู้คืนอุปกรณ์ ทำให้มัลแวร์สามารถดึงข้อมูลนี้ออกมาได้
หากกุญแจหลักถูกขโมย ผู้โจมตีอาจเข้าถึง Passkeys ทั้งที่มีอยู่ในปัจจุบันและที่จะสร้างขึ้นในอนาคตได้ อีกทั้งระบบของ Google ยังไม่มีวิธีหมุนเวียนหรือเพิกถอนกุญแจดังกล่าวหลังถูกขโมย
แม้งานวิจัยนี้จะสร้างความกังวล แต่ผู้เชี่ยวชาญย้ำว่า Passkeys ยังมีความปลอดภัยกว่าการใช้รหัสผ่านแบบเดิม โดยเฉพาะการป้องกันการฟิชชิงและการรั่วไหลของข้อมูล
ที่มา digitaltrends
