Investigadores descobriram uma nova técnica de ataque capaz de explorar as passkeys do Google Password Manager. Este ataque, batizado de Pass-ta-key, foca-se especificamente em computadores Windows que já estejam infetados com malware. Ainda assim, os especialistas garantem: as passkeys continuam a ser uma opção bem mais segura do que as palavras-passe tradicionais.
Continuar a ler após o anúncio.
O ataque não funciona em qualquer cenário
A descoberta foi feita pelos investigadores de segurança da Unit 42, a divisão de pesquisa da Palo Alto Networks. A equipa descreve várias variantes do ataque Pass-ta-key, mas todas partilham o mesmo ponto de partida: o pirata informático precisa de já ter instalado malware no PC Windows da vítima. Ou seja, não estamos perante uma vulnerabilidade mágica que permita a alguém apoderar-se remotamente da tua conta Google. Além disso, podes ficar descansado num ponto: o ataque não funciona se utilizares a passkey através do teu smartphone.
Num dos métodos analisados, a chave de identidade do gestor de passwords da Google é explorada para registar novas passkeys sem o teu consentimento. Outra tática passa por enganar o próprio gestor, fazendo-o acreditar que já desbloqueaste o computador com os teus dados biométricos. Na prática, isto permite que o software malicioso se autentique sozinho, dispensando a tua impressão digital ou o reconhecimento facial.
A variante mais perigosa, batizada de “Golden Pass-ta-key”, foca-se numa chave de encriptação que o Chrome utiliza para proteger as tuas passkeys sincronizadas. Segundo o relatório, esta chave fica temporariamente guardada na memória RAM do navegador. É aqui que o malware entra em ação: extrai a chave da memória e usa-a para aceder a todas as passkeys sincronizadas, sejam elas atuais ou futuras. Os especialistas alertam que, enquanto essa chave de segurança não for substituída, qualquer nova passkey que cries continuará vulnerável.
Continuar a ler após o anúncio.
Não há motivo para deixares de usar passkeys
Embora estas descobertas soem assustadoras, a equipa sublinha que o ataque tem uma limitação crucial. Para ter sucesso, o atacante precisa de já ter acesso total ao teu computador Windows através de malware. Sem um sistema previamente infetado, nenhum destes métodos funciona. No fundo, isto significa que esta vulnerabilidade não representa um risco imediato para a grande maioria dos utilizadores.
É por isso que as passkeys continuam a ser uma forma muito mais segura de iniciar sessão do que as velhas palavras-passe. Em vez de um código que pode ser facilmente adivinhado ou roubado num esquema de phishing, uma passkey utiliza chaves criptográficas complexas. A grande lição a tirar deste novo ataque é simples: por muito robusto que seja um sistema de segurança, ele será sempre tão forte quanto o dispositivo onde o estás a utilizar.
Continuar a ler após o anúncio.
Mantém os teus dispositivos limpos e protegidos
Na prática, para ti, nada muda neste momento. O principal conselho dos especialistas é a prevenção: mantém o Windows, o Chrome e os restantes programas sempre atualizados e instala software apenas a partir de fontes de confiança. Lembra-te de que, quando um computador fica infetado, todos os teus dados sensíveis correm perigo. E, claro, a mesma regra de ouro aplica-se ao teu smartphone ou tablet.
