米国のセキュリティー企業Palo Alto Networksは現地時間8月3日、Windows版Google Chromeに搭載された「Googleパスワードマネージャー」に、パスキー認証を突破される脆弱性があることを公表した。
同社によると、攻撃は「Pass-ta-key」「Silver Pass-ta-key」「Golden Pass-ta-key」の3つの手法が存在する。
●Pass-ta-key
Pass-ta-keyは被害者のデバイスに入り込んだマルウェアが、GoogleパスワードマネージャーとChromeの動作を模倣することで、パスキーで保護されたアカウントを乗っ取るというもの。
マルウェアの動作にユーザーの同意や生体認証、特権昇格などを必要としないため、ユーザーがマルウェアの侵入やアカウントの乗っ取りに気付きにくいとされる。
●Silver Pass-ta-key
Silver Pass-ta-keyは、攻撃者が被害者のクラウド認証システムに登録されたキーを無効化し、新たなキーを登録することでアカウントを乗っ取る手法。
攻撃に成功すると、攻撃者は被害者の端末を使うことなく、被害者に関連付けられたパスキーのアカウントを乗っ取ることができるという。
●Golden Pass-ta-key
Golden Pass-ta-keyは、保存されたパスキーを復号（暗号化解除）するマスターキー（security domain secret／SDS）を奪う手口だ。
Windows版Google Chromeにはクラウド認証システムへの再登録時、SDSを暗号化されていない状態で扱うプロセスが存在。攻撃者は被害者のChromeにクラウド認証への再登録を強制し、システムの動作を監視することで、平文状態のSDSを抽出できるという。
さらに厄介なのは、被害者がすでに使っているパスキーと今後作成するパスキーの両方が、攻撃者側で復号可能となってしまうことだ。
原因について同社は、現行のグーグルの実装ではSDSをローテーションまたは失効させる方法がなく、攻撃成功後も同じSDSによる保護が継続するためと説明している。
いずれの攻撃もユーザー側では対処が難しいことから、グーグル側の早急な対応が望まれる。
本記事はアフィリエイトプログラムによる収益を得ている場合があります
