Salasanat korvanneet pääsyavaimet eivät ole aukottomia – Googlen salasanojen hallinnan suojaukset ohitettiin

Tietoturvatutkijat ovat löytäneet tavan ohittaa Googlen salasanojen hallinnan (Google Password Managerin) pääsyavaimia suojaavia mekanismeja. Löydös ei murra itse pääsyavaintekniikkaa, mutta osoittaa, että hyökkääjä voi tietyissä tilanteissa päästä käsiksi käyttäjän tunnuksiin.

Pääsyavaimet on kehitetty korvaamaan perinteiset salasanat turvallisemmalla kirjautumistavalla. Ne perustuvat laitteelle tallennettaviin salausavaimiin, minkä vuoksi niitä pidetään yleisesti huomattavasti salasanoja turvallisempina esimerkiksi tietojenkalastelua vastaan. Ne ovat myös helppokäyttöisiä, sillä kirjautuminen onnistuu esimerkiksi biometrisellä tunnisteella, kuten sormenjäljellä.

Nyt turvallisuusyhtiö Unit42:n tutkijat ovat kuitenkin osoittaneet, että Googlen salasanahallintaan tallennettujen pääsyavainten suojaus voidaan tietyissä tilanteissa kiertää Windows-tietokoneilla. Raportissaan tutkijat kuvailevat useita tapoja hyökkäyksen toteuttamiseksi.

Suojauksen kiertäminen edellyttää kuitenkin järjestelmävalvojan oikeuksia, mikä taas tarkoittaa, että tietokoneen on jo oltava haittaohjelman saastuttama. Päivityksistä huolehtiminen onkin erittäin tärkeää, raportissa korostetaan.

Tutkijat painottavat myös, etteivät löydökset tarkoita pääsyavainten olevan turvattomia tai että käyttäjien pitäisi palata salasanoihin. Monimutkainen hyökkäys onnistuu vain, jos kohdelaite on jo valmiiksi haavoittunut, ja valtaosalle käyttäjistä pääsyavaimet ovat edelleen selvästi turvallisempi vaihtoehto kuin perinteiset salasanat.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla