Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google.

Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google.

      Le "chiavi di accesso" "non copiabili" di Google potrebbero essere più facili da rubare di quanto promesso

      Le chiavi di accesso sono state promosse come il successore più sicuro delle password. Promettevano protezione contro il phishing, il riutilizzo delle credenziali e le perdite di password. Google afferma persino che non possono essere copiate o accidentalmente consegnate a qualcun altro. Ma potrebbe non essere così sicuro come l'azienda desidera.

      I ricercatori di sicurezza (via BleepingComputer) hanno ora trovato tre modi in cui il malware può minare queste promesse per le chiavi di accesso sincronizzate tramite Google Password Manager. Le tecniche, collettivamente chiamate Pass-ta-key, prendono di mira Google Password Manager all'interno di Chrome su computer Windows dotati di un Trusted Platform Module. Ogni attacco richiede che il malware sia già in esecuzione sul computer della vittima.

      I ricercatori non hanno violato la crittografia dietro le chiavi di accesso. Hanno sfruttato le debolezze nella fiducia del dispositivo, nel recupero dell'account, nell'onboarding e nel modo in cui i servizi verificano che l'utente abbia effettivamente sbloccato il proprio dispositivo.

      Posso accedere al mio account Google su Windows utilizzando una chiave di accesso. Digital Trends

      Il malware può impersonare il tuo computer fidato

      La prima tecnica Pass-ta-key consente al malware di utilizzare l'identità del dispositivo supportata dal TPM di Chrome per richiedere una risposta valida della chiave di accesso dall'autenticatore cloud di Google. Non richiede privilegi di amministratore, scansione biometrica, PIN, sblocco del dispositivo o interazione da parte della vittima. Il servizio di Google vede la richiesta come proveniente da un computer fidato e restituisce la risposta di autenticazione necessaria per accedere.

      I siti web dovrebbero controllare un flag che conferma che l'utente ha verificato la propria identità. L'Unità 42 ha scoperto che GitHub ha correttamente rifiutato l'attacco, mentre eBay lo ha accettato nonostante richiedesse presumibilmente una verifica. eBay ha corretto quella lacuna dopo che i ricercatori l'hanno segnalata.

      L'attacco Pass-ta-key Silver più avanzato può costringere Chrome a registrare una chiave di verifica controllata dall'attaccante. Quella chiave viene quindi trattata come prova che la vittima ha inserito un PIN o ha utilizzato biometria, consentendo l'accesso all'account da un altro computer dopo che il dispositivo originale è andato offline.

      Digital Trends

      Il peggior attacco ruba le chiavi stesse

      La tecnica Golden Pass-ta-key prende di mira il segreto principale utilizzato per crittografare ogni chiave di accesso sincronizzata tramite un account Google. I ricercatori hanno inizialmente scoperto che Chrome esponeva questo segreto in testo chiaro attraverso i suoi log interni FIDO. Google lo ha rimosso dai log dopo la divulgazione. Tuttavia, l'Unità 42 afferma che la chiave appare ancora temporaneamente all'interno della memoria di processo di Chrome durante la registrazione o il recupero del dispositivo. Il malware può estrarla e decrittografare le chiavi di accesso sincronizzate della vittima.

      La chiave principale rubata potrebbe esporre chiavi di accesso esistenti e future. L'Unità 42 aggiunge che l'attuale implementazione di Google non fornisce alcun metodo per ruotare o revocare quel segreto dopo che è stato compromesso. Le chiavi di accesso rimangono sostanzialmente più sicure contro il phishing e le perdite di password. La documentazione di Google descrive ancora accuratamente quei vantaggi. Questa ricerca mostra che il malware già presente nel tuo computer può attaccare l'infrastruttura circostante la chiave di accesso invece.

      Vikhyaat Vivek è un giornalista tecnologico e recensore con sette anni di esperienza nella copertura dell'hardware di consumo, con un focus su…

      Apple smetterà finalmente di rendere così complicato il copia-incolla tra iPhone e Windows

      Il tuo iPhone potrebbe finalmente copiare e incollare con un PC Windows come dovrebbe

      Copiare qualcosa su un iPhone e incollarlo su un PC Windows dovrebbe essere una delle funzionalità meno straordinarie immaginabili. Mentre questo semplice processo sembra senza sforzo tra un iPhone e un Mac, gli utenti Windows sono ancora in attesa. Ora, Microsoft sta chiedendo formalmente ad Apple di fornire accesso al clipboard interoperabile attraverso il processo di interoperabilità dell'Unione Europea dell'azienda. La richiesta, presentata il 25 marzo, sostiene che le restrizioni di iOS impediscono alle piattaforme di terze parti di creare un'esperienza comparabile a quella degli Appunti Universali di Apple. Apple ha ora raggiunto la Fase III e si è impegnata a sviluppare una soluzione.

      Leggi di più

      Chrome vuole più recensioni delle estensioni, ma buone valutazioni non terranno lontano il malware

      Google sta testando i prompt di revisione delle estensioni integrati, ma buone valutazioni possono comunque nascondere il malware

      Google si sta preparando ad aggiungere collegamenti per la revisione delle estensioni direttamente all'interno di Chrome, avvicinando il feedback ai menu che le persone utilizzano già per gestire i propri componenti aggiuntivi. Una modifica di Chromium, notata per la prima volta da Windows Report, indica opzioni di revisione nel menu Estensioni, nella pagina di gestione chrome://extensions e nei menu contestuali delle estensioni. Solo le estensioni del Chrome Web Store idonee e in buono stato sarebbero qualificate, e la funzionalità è ancora in fase di sviluppo.

      Leggi di più

      La causa di Apple contro OpenAI è appena inciampata su un imbarazzante email inviata al destinatario sbagliato

      Apple ha cercato i segreti commerciali di OpenAI, ma OpenAI aveva ricevute email

      La battaglia legale tra Apple e OpenAI è rapidamente passata oltre dichiarazioni giudiziarie formulate con attenzione. OpenAI ha appena condiviso le email e i messaggi dietro la disputa, e uno scambio lascia la versione degli eventi di Apple in una luce discutibile. In un post intitolato in modo diretto, "Apple sta sbagliando", OpenAI ha sfidato la richiesta di Apple per un'ingiunzione preliminare e ha accusato il produttore di iPhone di costruire parti del suo caso attorno a informazioni false o incomplete. Apple vuole che un tribunale impedisca a OpenAI e a due ex dipendenti di Apple di accedere, acquisire, utilizzare o divulgare le sue presunte informazioni riservate.

      Leggi di più

Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google. Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google.

Altri articoli

Il Congresso spende l'88% del suo budget per l'IA su ChatGPT Il Congresso spende l'88% del suo budget per l'IA su ChatGPT I registri della Camera mostrano che ChatGPT di OpenAI ha preso nove dollari su dieci visibili in Congress, e i Democratici, i più vocali scettici sull'IA, hanno speso di più. Gli Stati Uniti stanno redigendo un divieto sui dispositivi cinesi nei data center. Gli Stati Uniti stanno redigendo un divieto sui dispositivi cinesi nei data center. L'amministrazione Trump sta redigendo un divieto sui dispositivi per data center prodotti in Cina, estendendo il suo impegno a isolare l'infrastruttura AI degli Stati Uniti dalla tecnologia cinese. La crisi di potere dell'IA sta portando i costruttori di data center verso le banche. La crisi di potere dell'IA sta portando i costruttori di data center verso le banche. Con il potere ora come vincolo principale per l'IA, i costruttori di data center stanno cercando miliardi in promesse di finanziamento bancario per garantire elettricità e costruzione. Apple sta finalmente portando una delle mie funzionalità di Continuità preferite su Windows Apple sta finalmente portando una delle mie funzionalità di Continuità preferite su Windows Apple sta costruendo un modo per copiare sul tuo iPhone e incollare su un PC Windows, grazie a una richiesta di Microsoft, ma dovrai aspettare fino al 2027 o oltre. Il radicalismo unidirezionale di Alex Karp: il problema del marxismo di Palantir è Palantir Il radicalismo unidirezionale di Alex Karp: il problema del marxismo di Palantir è Palantir Alex Karp afferma che Palantir ha "sottotoni marxisti". Se presa sul serio, l'idea si rivolge a Palantir stessa, l'azienda che possiede le infrastrutture. Apple combatte l'ordine del Regno Unito che restringe l'accesso backdoor a iCloud Apple combatte l'ordine del Regno Unito che restringe l'accesso backdoor a iCloud La Gran Bretagna ha ristretto la sua richiesta di backdoor ad Apple solo per gli utenti del Regno Unito dopo aver perso la battaglia nel 2025. Apple è tornata a un tribunale segreto di sorveglianza per contestarla.

Le chiavi di accesso sono state promosse come un futuro più sicuro. Gli hacker hanno trovato modi per violare quelle sincronizzate con Google.

I ricercatori hanno trovato tre modi in cui il malware su un PC Windows già compromesso può dirottare le chiavi di accesso sincronizzate con Google, eludere i controlli degli utenti ed estrarre ogni chiave privata nella cassaforte.