Google Password Manager passkey-riski ei tarkoita, että passkey-teknologia olisi murrettu. Kyse on käytännönläheisemmästä ja yrityksille tärkeästä havainnosta: jos Windows-päätelaite on jo saastunut haittaohjelmalla, hyökkääjä voi pyrkiä hyödyntämään selaimen, pilvisynkronoinnin ja laitteen luottamusmallin välisiä rajapintoja.
Tietoturvatutkimuksessa on kuvattu kolme tekniikkaa, jotka on nimetty Pass-ta-key, Silver Pass-ta-key ja Golden Pass-ta-key. Ne kohdistuvat Chromeen, Google Password Manageriin, synkronoituihin passkey-tunnisteisiin, Windows-ympäristöihin ja TPM-sirun ympärille rakennettuun laiteluottamukseen. Tärkeä rajaus on tämä: hyökkäys edellyttää, että haittaohjelma on jo käynnissä käyttäjän Windows-koneella. Pelkkä verkkosivulla käynti tai etänä tehtävä yleinen passkey-murto ei riitä.
Mitä tapahtui?
Passkeyt perustuvat julkisen avaimen kryptografiaan. Palvelu säilyttää julkisen avaimen, ja käyttäjän laite tai tunnistehallinta hallitsee yksityistä avainta. Kirjautumisessa palvelu lähettää kertakäyttöisen haasteen, joka allekirjoitetaan yksityisellä avaimella. Tämän vuoksi passkeyt suojaavat hyvin perinteiseltä tietojenkalastelulta ja salasanojen uudelleenkäytön ongelmilta.
Nyt kuvatut tekniikat eivät murra tätä perusmekanismia. Ne pyrkivät hyödyntämään sitä, miten synkronoidut passkeyt tuodaan useille laitteille, miten selain hallitsee paikallista profiilia, miten uusi laite rekisteröidään ja miten Google Password Manageriin liittyviä avainsalaisuuksia käsitellään.
Kolme hyökkäysmallia lyhyesti
- Pass-ta-key: haittaohjelma voi käyttää jo valtuutetun Windows-laitteen TPM:ää ja Chrome-profiilin tietoja tuottaakseen kirjautumisvasteen ilman, että käyttäjä välttämättä näkee PIN-, sormenjälki- tai kasvojentunnistuskehotetta. Tämä ei kuitenkaan aseta käyttäjän vahvistusta osoittavaa WebAuthn-lippua, joten oikein toteutettu palvelu voi torjua kirjautumisen.
- Silver Pass-ta-key: hyökkääjä voi manipuloida paikallista passkey-tilaa ja pakottaa uudelleenrekisteröinnin, jossa hyökkääjän hallitsema varmennusavain hyväksytään. Tällöin kirjautuminen voi näyttää palvelulle vahvemmalta kuin ensimmäisessä mallissa.
- Golden Pass-ta-key: vakavin malli kohdistuu Security Domain Secretiin eli SDS-salaisuuteen. Se on master-salaisuus, jolla suojataan Google-tiliin liittyviä synkronoituja passkey-yksityisavaimia. Jos se päätyy hyökkääjälle, synkronoituja tunnisteita voidaan purkaa ja hyödyntää laajemmin.
Raporteissa ei ole esitetty CVE-tunnuksia, täydellistä haavoittuvien Chrome-versioiden listaa tai näyttöä siitä, että tekniikoita olisi hyödynnetty aktiivisissa rikollisissa kampanjoissa. Silti havainto on yrityksille hyödyllinen, koska se muistuttaa salasanattoman kirjautumisen todellisesta riippuvuudesta päätelaitteen eheydestä.
Miksi tämä on yrityksille käytännössä tärkeää?
Moni yritys on siirtymässä passkeyihin, koska ne vähentävät phishing-riskiä ja salasanojen hallintaan liittyvää kuormaa. Se on oikea suunta, mutta passkey ei tee saastuneesta työasemasta turvallista. Jos haittaohjelma pääsee toimimaan käyttäjän istunnossa, se voi yrittää lukea Chrome-profiilin metatietoja, tarkkailla paikallisia tilatiedostoja, käsitellä selaimen muistia tai käyttää Windowsin kryptografia-API-rajapintoja poikkeavasti.
Yrityksen kannalta riski ei rajoitu yksittäiseen käyttäjätiliin. Ylläpitäjän, taloushallinnon, kehittäjän tai johdon passkey-tunniste voi avata pääsyn järjestelmiin, joiden kautta syntyy suurempi liiketoimintariski. Tässä kohtaa kyberturva liittyy suoraan liiketoiminnan jatkuvuuteen: jos identiteetti vaarantuu, myös pilvipalvelut, asiakasdata, laskutus, verkkokauppa ja sisäiset työkalut voivat joutua vaikutuspiiriin.
Suomi Solutions auttaa pk-yrityksiä arvioimaan, missä salasanaton kirjautuminen kannattaa toteuttaa synkronoiduilla passkeyillä ja missä rooleissa tarvitaan laitekohtaisia FIDO2- tai WebAuthn-turva-avaimia. Käytännön työ voi sisältää Microsoft 365 -ympäristön kirjautumissääntöjen tarkistuksen, päätelaitteiden hallintamallin läpikäynnin ja korkean riskin käyttäjäryhmien suojaustason arvioinnin.
Miten riski näkyy yrityksen arjessa?
Arjessa tilanne voi alkaa tavallisesta haittaohjelmatartunnasta. Käyttäjä avaa haitallisen liitteen, asentaa väärän ohjelman tai päätyy selaimen kautta lataamaan ohjelmiston, joka saa oikeudet toimia käyttäjän istunnossa. Tämän jälkeen hyökkääjän ei välttämättä tarvitse varastaa salasanaa. Sen sijaan haittaohjelma voi selvittää, mihin palveluihin käyttäjällä on passkey-tunnisteita, ja yrittää hyödyntää paikallista selaintilaa tai synkronoinnin avainsalaisuuksia.
Chromeen tallentuvat passkey-metatiedot voivat paljastaa, missä palveluissa käyttäjä käyttää passkey-kirjautumista. Tämä ei vielä tarkoita käyttökelpoista yksityistä avainta, mutta se antaa haittaohjelmalle arvokasta kartoitustietoa. Yritysympäristössä tällainen tieto voi kertoa hyökkääjälle, käyttääkö henkilö passkeytä esimerkiksi talousjärjestelmään, kehittäjäalustaan, verkkokaupan hallintaan tai yrityksen identiteetinhallintaan.
Suomi Solutionsin käytännön työssä tällaiset riskit käännetään konkreettisiksi toimenpiteiksi: päätelaitteiden päivitystaso tarkistetaan, käyttäjäoikeuksia rajataan, sovelluskontrollia vahvistetaan ja selainten paikallisia profiileja suojataan tarpeettomalta käsittelyltä. WordPress-ylläpidossa ja palvelinympäristöissä sama ajattelutapa näkyy esimerkiksi ylläpitotilien eriyttämisenä, kirjautumislokien seurannassa ja kriittisten hallintatunnusten vahvempana suojaamisena.
Mitä yrityksen kannattaa tehdä nyt?
- Päivittäkää päätelaitteet ja selaimet. Chrome, Windows ja tietoturvaohjelmistot kannattaa pitää ajan tasalla. Tämä ei yksin ratkaise identiteettiriskiä, mutta vähentää haittaohjelmien mahdollisuuksia toimia päätelaitteella.
- Vahvistakaa päätelaitteiden valvontaa. EDR- tai XDR-valvonnan tulisi havaita poikkeava pääsy Chrome-profiileihin, selaimen prosessimuistin käsittely, passkey-tilatiedostojen muokkaus ja epätavallinen TPM:ään tai Windowsin kryptografia-rajapintoihin kohdistuva toiminta.
- Erottakaa synkronoidut passkeyt ja fyysiset turva-avaimet. Synkronoidut passkeyt voivat olla hyvä ratkaisu tavalliseen käyttöön, mutta ylläpitäjille, taloushallinnolle ja kehittäjille fyysiset, ei-synkronoitavat FIDO2-turva-avaimet ovat usein perustellumpi vaihtoehto.
- Tarkistakaa WebAuthn user verification -vaatimukset. Kriittisten sovellusten pitää sekä pyytää käyttäjän vahvistusta että tarkistaa palvelinpuolella, että vahvistusta kuvaava tieto todella on mukana kirjautumisessa.
- Käyttäkää laiteperustaista pääsynhallintaa. Pelkkä passkey-todennus ei riitä, jos kirjautuminen sallitaan miltä tahansa laitteelta. Hallitun, terveen ja ajantasaisen päätelaitteen vaatimus on olennainen osa Zero Trust -mallia.
- Valmistelkaa ohje kompromissitilanteeseen. Jos työasema todetaan saastuneeksi, pelkkä salasanan vaihto ei riitä. Epäillyt passkeyt on poistettava Google Password Managerista ja palveluista, istunnot on mitätöitävä ja tunnisteet rekisteröitävä uudelleen puhtaalta laitteelta.
Kirjautumislokeissa kannattaa seurata uusia laitteita, uusia passkey-rekisteröintejä, epätavallisia WebAuthn-tapahtumia, sijaintipoikkeamia ja kirjautumisia heti päätelaitteen tietoturvahälytyksen jälkeen. Käyttäjille on myös hyvä viestiä selkeästi, mitä passkey suojaa ja mitä se ei suojaa. Se vähentää salasanoihin liittyviä riskejä, mutta ei korvaa päätelaitteen koventamista, haittaohjelmien torjuntaa eikä vastuullista käyttöoikeuksien hallintaa.
Jos yrityksenne haluaa arvioida passkey-käyttöä, Microsoft 365 -kirjautumiskäytäntöjä, päätelaitteiden valvontaa tai ylläpitotilien suojausta käytännön tasolla, Suomi Solutions auttaa muuttamaan havainnot konkreettisiksi toimenpiteiksi. Voitte aloittaa kokonaisuuden kartoituksen ottamalla yhteyttä osoitteessa https://suomisolutions.fi/.
