Pass-the-Passkey: nowe ataki wymierzone w następcę hasła

Nasz przewodnik „Samo hasło to za mało ” spotkał się z pozytywnym odbiorem społeczności i został celowo napisany z myślą o początkujących. Otrzymane opinie wskazały właśnie na te subtelne kwestie, które wówczas pominęliśmy. Obecne badania dostarczają odpowiedniej okazji: podczas konferencji Black Hat USA (1–6 sierpnia, Las Vegas) badacz ds. bezpieczeństwa Michael Grafnetter zaprezentuje rodzinę ataków, którą nazwał „Pass-the-Passkey”. Nadszedł czas na kontynuację: co naprawdę wyróżnia klucze dostępu, gdzie leżą ich ograniczenia i co można zrobić lepiej.

Klucz dostępu w chmurze czy klucz sprzętowy – oto cała różnica

Klucze dostępu występują w dwóch wariantach. Wygodniejszy z nich znajduje się w menedżerze haseł lub bezpośrednio u Apple, Google czy Microsoft i synchronizuje się ze wszystkimi Państwa urządzeniami za pośrednictwem chmury. Jest to praktyczne rozwiązanie, ale otwiera dodatkową linię ataku. Każdy, kto uzyska dostęp do Państwa konta w chmurze, potencjalnie zyska również dostęp do zsynchronizowanych kluczy dostępu. Drugim wariantem jest klucz sprzętowy – niewielki pendrive USB lub urządzenie NFC. Jak opisuje to organizacja FIDO Alliance, jego klucz prywatny nigdy nie opuszcza chipa i nie można go wyeksportować. Dla większości osób klucz dostępu w chmurze jest wystarczający, ponieważ jest odporny na ataki phishingowe i zdecydowanie przewyższa hasło. Jeśli posiadają Państwo konta wymagające szczególnej ochrony, bezpieczniej jest skorzystać z klucza sprzętowego.

Michael Grafnetter, badacz ds. bezpieczeństwa w firmie SpecterOps, dokładnie przeanalizował rzeczywiste wdrożenia kluczy dostępowych i opublikował swoje ustalenia na swoim blogu DSInternals. Oto, co odkrył: gdy otoczenie jest niedostatecznie zabezpieczone, stare schematy ataków mogą powrócić, nawet jeśli sama kryptografia kluczy dostępu jest solidna. Nazwał to „Pass-the-Passkey”, na wzór „Pass-the-Hash”. Atakujący kradnie dane logowania i ponownie je wykorzystuje, nie znając nawet hasła. W szczególności odkrył trzy luki w systemie Windows 11 i usłudze Microsoft Entra ID, które były bliskie wykorzystania. System Windows 11 zapisywał pełną kopię klucza w dzienniku zdarzeń, a usługa Entra ID nie zapobiegała w sposób skuteczny ponownemu wykorzystaniu. W połączeniu wystarczyłoby to do przejęcia uprzywilejowanych kont w chmurze i obejścia nawet odpornego na phishing logowania wieloskładnikowego. Główna luka została oznaczona jako CVE-2026-34348 i została usunięta 14 lipca. Firma Microsoft po cichu naprawiła tę lukę po stronie chmury. Warto zwrócić uwagę na jeden istotny kontekst: problem ten dotyczy głównie środowisk korporacyjnych korzystających z Entra ID, Windows Hello lub kluczy FIDO2, a nie Państwa prywatnego klucza dostępu na telefonie. Według własnej oceny serwisu Grafnetter klucze dostępu stanowią duży krok naprzód, ale nie są „magicznym rozwiązaniem”, a ścieżki ataku pozostają znacznie bardziej złożone niż w przypadku klasycznych haseł.

Klucze sprzętowe nie są wszystkie takie same

Klucz sprzętowy nie jest automatycznie idealnym rozwiązaniem. Proszę najpierw przyjrzeć się standardowi. FIDO2 z WebAuthn to nowoczesna metoda odporna na phishing, podczas gdy starsze metody oparte na kodach jednorazowych, takie jak TOTP, nie zapewniają takiej ochrony. Po drugie, najbardziej znane marki, takie jak YubiKey (dostępny tutaj na Amazon) czy Titan firmy Google, są sprawdzone, ale już sam ich zasięg sprawia, że stają się popularnym celem ataków, a ponadto mają one również swoje słabe punkty. Atak EUCLEAK wykazał w 2024 r., że niektóre starsze modele YubiKey można sklonować w warunkach laboratoryjnych. Jeśli chcą Państwo ograniczyć powierzchnię ataku, mogą Państwo celowo wybrać mniej popularny, ale certyfikowany model. W przypadku rozwiązań wbudowanych w urządzenie, na przykład w iPhone’a, należy kierować się rozsądnym założeniem: to, co dziś jest bezpiecznie przechowywane w chipie, może pewnego dnia zostać odczytane. Oddzielny klucz, który można wyjąć w razie wątpliwości, pozostaje bardziej konserwatywnym wyborem.

Najczęstszy błąd: stare hasło pozostaje aktywne

Najkosztowniejszym błędem jest ten, którego nie widać. Wiele osób konfiguruje klucz dostępu, ale pozostawia stare, słabe hasło jako login. W ten sposób tylne drzwi pozostają szeroko otwarte, a klucz dostępu nie zapewnia Państwu praktycznie żadnej ochrony. Oto jak należy to zrobić prawidłowo:

1. Skonfiguruj klucz dostępu lub klucz sprzętowy dla konta.
2. Zapisz kody odzyskiwania, najlepiej w formie wydruku lub w menedżerze haseł działającym w trybie offline.
3. Wyłącz stare hasło wszędzie tam, gdzie pozwala na to dana usługa.
4. Jeśli nie jest to możliwe, proszę zastąpić hasło długim, złożonym hasłem i przechowywać je wyłącznie w bezpiecznym miejscu.

Czy ta zmiana w ogóle się opłaca?

Tak. Klucze dostępu przesuwają punkt ataku, ale go nie eliminują – to szczera konkluzja najnowszych badań. Nadal są one wyraźnie bezpieczniejsze niż hasła, niezależne od wycieków danych i odporne na phishing. Firma Microsoft od 1 września wprowadza nawet klucze dostępu jako domyślną metodę logowania do swoich kont w chmurze. Dla większości osób zsynchronizowany klucz dostępu stanowi właściwy krok. Każdy, kto potrzebuje większej ochrony, może dodać klucz sprzętowy i zamknąć tylne drzwi związane z hasłem. Grafnetter przedstawi szczegóły dotyczące luki „Pass-the-Passkey” podczas konferencji Black Hat, wraz z narzędziami, które udostępnia na licencji open source, aby inni mogli znaleźć kolejne słabe punkty.