Parolasız Kimlik Doğrulamada “Pass-ta-key” Zafiyetleri ve Teknik Detaylar

Palo Alto Networks Unit 42 araştırmacıları tarafından yayımlanan kapsamlı rapora göre, Google’ın synced passkey ekosisteminde ve masaüstü istemcilerde kullanılan Cloud Authenticator mimarisinde kritik zafiyetler keşfedilmiştir. Geleneksel parolaların yerini alan passkey teknolojisi, phishing gibi saldırılara karşı dirençli olsa da, ele geçirilmiş bir son kullanıcı yetkisiz bir zararlı yazılım ile kullanıcı etkileşimi, biyometrik doğrulama veya cihaz kilidinin açılmasına gerek kalmadan hedef hesapları tamamen ele geçirebileceği kanıtlanmıştır.

Saldırının ilk aşamasında, saldırganın kurbanın hesabındaki passkey kullanımına dair görünürlük elde etmesi gerekir. Chrome, senkronizasyon sürecinin bir parçası olarak passkey verilerini yerel olarak depolar. Windows sistemlerde bu veriler, WebauthnCredentialSpecifics  kayıtları halinde şu dizinde tutulur: “%LocalAppData%\Google\Chrome\User Data\<Profile>\Sync Data\LevelDB”. Bu kayıtlara erişmek için yönetici yetkilerine ihtiyaç yoktur. Zararlı yazılım bu veritabanını okuyarak, kurbanın hangi servislerde passkey kullandığını, kullanıcı adlarını, kimlik doğrulayıcı tanımlayıcılarını ve şifrelenmiş özel anahtarları tespit edebilir.

Pass-ta-key Saldırısı (Cihaz Kimliği Taklidi)

Bu saldırı, kurbanın cihazında çalışan yetkisiz bir zararlı yazılımın, cihazın kilidinin açılmasına gerek kalmadan Google synced passkey korumalı bir hesabı ele geçirmesine olanak tanır. Saldırının teknik adımları şöyledir:

• Chrome'un Kimlik Anahtarı Davranışı: Windows üzerinde Chrome, "NcryptCreatePersistedKey" fonksiyonunu bir anahtar adı atamadan çağırır. Bu durum, TPM destekli anahtarın geçici olmasına ve diske kalıcı olarak yazılmamasına neden olur.

• Anahtarın Dışa Aktarılması: Chrome, özel anahtarı TPM içinde saklamak yerine "NcryptExportKey" çağrısı yaparak NCRYPT_OPAQUE_KEY_BLOB olarak dışa aktarır. Bu işlem, TPM'e özel anahtarı şifrelemesi talimatını verir. Ortaya çıkan blob, "passkey_enclave_state" dosyasında "wrapped_identity_private_key" olarak saklanır.

• Zararlı Yazılımın Müdahalesi: Saldırganın yazılımı, bu "wrapped_identity_private_key" verisini diskten veya bellekten çalar. Ardından standart Windows CNG API'lerini kullanarak, yönetici yetkisine ihtiyaç duymadan Chrome'un kimlik doğrulama adımlarını taklit eder.

• Yetkisiz Giriş: Bulut Kimlik Doğrulayıcı ile WebSocket el sıkışması başlatılır. Kurbanın TPM'i kullanılarak sahte bir onay talebi imzalanır ve buluta gönderilir. Bulut, talebin güvenilir bir cihazdan geldiğini düşünerek onayı verir ve hesap saldırganın eline geçer.

Silver Pass-ta-key Saldırısı (Biyometrik Atlatma)

Silver Pass-ta-key, saldırganın hedef cihazı fiziksel olarak kullanmadan, sadece kurbanın cihaz kilidini biyometrik bir yöntemle açtığına dair Google Cloud Authenticator'ı kandırması işlemidir. Zararlı yazılım, biyometrik onay süreçlerindeki token mantığını veya iletişim protokolünü manipüle ederek, sistemin sanki kullanıcı cihaz başında onay vermiş gibi davranmasını sağlar.

Bu saldırıyı gerçekleştirmek için ilk hedef, hedef cihazla ilişkilendirilmiş mevcut Kullanıcı Doğrulama anahtarını geçersiz kılmaktır. Önceki zafiyetlerden yararlanan saldırgan, kurban adına bir "device/forget" komutu verebilir. Daha basit bir seçenek ise, silinmesini engelleyen yerleşik hiçbir koruma olmadığı için kurbanın "passkey_enclave_state" dosyasını doğrudan silmektir. Hangi yöntem kullanılırsa kullanılsın, kullanıcı bir sonraki sefer passkey kullanmaya çalıştığında Chrome, cihaza erişimi kalmadığı veya bulut tarafı cihazı tanımadığı için cihazı yeniden kaydetmeye zorlanır.

Golden Pass-ta-key Saldırısı (Anahtar Çıkarma)

Passkey mimarisinin temel vaadi, özel anahtarların cihazdan kopyalanamamasıdır. Ancak üç saldırı arasındaki en kritik ve yıkıcı olan Golden Pass-ta-key tekniği, doğrudan Google Şifre Yöneticisi aracılığıyla senkronize edilen tüm passkey’leri şifrelemek için kullanılan 32 baytlık ana şifreleme anahtarını, yani Security Domain Secret’ı hedefler. Saldırının teknik akışı şu şekildedir:

• Yeniden Kayıt İşlemini Tetikleme: Zararlı yazılım, cihazın durumunu manipüle ederek Chrome’u cihazı yeniden kaydetmeye zorlar.

• Bellekten Sırrı Çekme: Yeniden kayıt esnasında Chrome’un işlem belleğine kısa süreliğine açık metin veri yapıları halinde gelen bu SDS, kurbanın cihazında çalışan zararlı yazılımın bellek taraması yapmasıyla o kısa zaman aralığında kopyalanır.

• Şifre Çözme ve Sömürü: Saldırgan ele geçirdiği bu ana anahtarı kullanarak, kurbanın bilgisayarından topladığı tüm şifrelenmiş passkey kayıtlarının şifresini kendi ortamında çözer. Bu işlem, donanım kilidi kırılamayan özel anahtarların dışa aktarılabilir hale gelmesine olanak tanır.

• Kalıcılık Tehlikesi: Daha da kötüsü, Google’ın uygulamasında bu SDS’i döndürme veya iptal etme mekanizması bulunmamaktadır. Bu durum, saldırganın sadece mevcut anahtarları değil, kurbanın gelecekte oluşturacağı tüm senkronize passkey’leri de ele geçirebilmesi anlamına gelmektedir

Bu tip saldırılardan korunmak için almamız gereken tedbirlerin bazıları;

Bu saldırılar, donanım tabanlı güvenlik önlemlerinin bile işletim sistemi seviyesindeki ayrıcalık eksiklikleri veya zararlı yazılımlar tarafından aşılabileceğini göstermektedir. Kurumların alması gereken başlıca önlemler şunlardır:

• Uç Nokta Tehdit Algılama (XDR): in-memory saldırıları ve CNG API'lerinin şüpheli kullanımını anında tespit edebilecek gelişmiş izleme araçlarının entegre edilmesi.

• Ayrıcalıklı Erişim Yönetimi (PAM): Uç noktalardaki yerel süreçlerin yetkilerinin en aza indirilmesi ve kritik dosyalar üzerindeki okuma/yazma erişimlerinin sınırlandırılması.

Detaylı bilgi için ticket@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.