Las claves de acceso de Google estaban destinadas a reemplazar las contraseñas. Según los investigadores, un malware común puede robarlas de Windows.

Las claves de acceso, en inglés passkeys, estaban destinadas a jubilar las contraseñas – no se pueden revelar, adivinar ni obtener mediante phishing. Sin embargo, investigadores de Palo Alto Networks han demostrado ahora que, contra un ordenador en el que ya se ejecuta malware, incluso ellas tienen su límite. En Windows, el código malicioso puede abusar de las claves de acceso de Google por sí mismo, sin preguntarle nada.

El inicio de sesión sin contraseña se está convirtiendo lentamente en el nuevo estándar – Google, Apple y los bancos están impulsando a los usuarios hacia las claves de acceso precisamente porque eliminan toda una clase de ataques. Fue una respuesta a años en los que nos rompimos la cabeza con contraseñas vulnerables y fáciles de adivinar. Sin embargo, una nueva investigación recuerda que ninguna protección es absoluta: si el malware entra en el ordenador, puede eludir las claves de acceso almacenadas en el gestor de contraseñas de Google con la misma facilidad que las contraseñas guardadas.

Expertos describen tres tipos de ataques

Según el informe publicado, la investigación se centra específicamente en las claves de acceso de Google sincronizadas a través del gestor de contraseñas en el navegador Chrome, en ordenadores con Windows y un chip de seguridad TPM. La condición fundamental es clara: el programa malicioso ya debe estar ejecutándose en la máquina. Entonces, para sus trucos, no necesita ni derechos de administrador ni un solo clic del usuario. Los autores dieron a la tríada de ataques el nombre colectivo de Pass-ta-key.

La primera y más sencilla variante consiste en que el malware imita el comportamiento de Chrome y se hace pasar por un dispositivo de confianza de la víctima. Envía una firma del chip de seguridad al servicio de verificación de Google, que le devuelve un inicio de sesión válido, como si el propietario estuviera realmente sentado frente al ordenador. Existe una defensa: el servicio de destino puede preguntar si el usuario realmente ha pasado la verificación. GitHub repelió el ataque de esta manera, pero eBay no supervisó este único bit de control y el inicio de sesión se realizó incluso sin huella dactilar o PIN. El error ya ha sido corregido.

La segunda variante va más allá. El malware obliga a Chrome a registrarse de nuevo en Google y, en el proceso, le introduce una clave de autenticación propia que el atacante ha generado. Google la acepta porque no verifica si la clave proviene del hardware real – y a partir de ese momento, considera cada firma del atacante como prueba de que el propietario ha desbloqueado el dispositivo con una huella dactilar. De esta manera, según los investigadores, se pueden eludir incluso cuentas con autenticación estricta, incluidas las bancarias. Además, basta con atacar una vez: el atacante puede iniciar sesión desde su propio ordenador, sin que la víctima tenga que estar en línea.

El tercer ataque es el peor. Permite robar la clave maestra con la que Google cifra absolutamente todas las claves de acceso sincronizadas. Quien la obtenga, descifrará todas las claves de la víctima a la vez – incluso las que se generen en el futuro. Los investigadores la encontraron en formato legible directamente en los registros internos de Chrome. Google corrigió el registro, pero según el equipo, la clave aún se envía al navegador y se puede extraer de su memoria. Lo desagradable es que esta clave maestra no se puede invalidar ni reemplazar por ahora – una vez filtrada, permanece válida para siempre.

El riesgo no es demasiado alto

Pero antes de que empiece a borrar todas sus claves de acceso, una objeción fundamental: los tres ataques presuponen que el malware primero entra en el ordenador. Además, la investigación solo se refiere a la combinación de Windows, Chrome y el gestor de contraseñas de Google, no, por ejemplo, a claves de hardware tipo YubiKey. Los propios autores enfatizan que las claves de acceso siguen siendo significativamente más seguras que las contraseñas clásicas y que un ataque contra ellas es aún más difícil.

El problema radica en la facilidad con la que el malware entra hoy en día en un ordenador. El código malicioso puede ser distribuido incluso por una campaña de phishing automatizada dirigida al público en general, por lo que un «ordenador infectado» no es en absoluto solo un problema de los descuidados. Y una vez que el código se asienta, los trucos descritos se ejecutan desapercibidos en segundo plano.

Palo Alto Networks informó de todo a Google y a los servicios afectados antes de la publicación. Google eliminó la fuga de claves de los registros, eBay corrigió el control de verificación y los investigadores piden que los sitios web verifiquen de forma consistente que el usuario realmente ha iniciado sesión. Para la persona común, de esto se desprende un consejo antiguo, pero no por ello menos válido: la mejor protección para las claves de acceso es no permitir que el malware entre en su ordenador – es decir, no instalar software de fuentes desconocidas y no caer en el phishing.

¿Ya utiliza claves de acceso para iniciar sesión o sigue confiando en las contraseñas?

Fuentes: Unit 42, BleepingComputer, Cybernews