Neue Forschung findet eine Lücke bei Googles synchronisierten Passkeys - was das bedeutet und was nicht
Wir haben in diesem Blog schon einiges darüber geschrieben, dass Passkeys die sicherere Art der Anmeldung sind - und das stimmt weiterhin. Aber eine Untersuchung aus dieser Woche verdient eine ehrliche Erwähnung, weil sie eine Lücke in einer bestimmten Konstellation aufzeigt. Am 3. August veröffentlichte das Unit-42-Team von Palo Alto Networks drei Angriffe - genannt Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key -, mit denen Schadsoftware die Passkeys kapern kann, die Google zwischen Ihren Geräten synchronisiert.
Zwei Dinge sind wichtig, bevor jemand in Panik gerät. Erstens: Das bricht Passkeys nicht grundsätzlich - die zugrunde liegende Kryptografie bleibt unangetastet, und Passkeys lassen sich weiterhin nicht so wie ein eingetipptes Passwort abphishen. Was die Forscher gefunden haben, sind Lücken darin, wie Chrome und der Google Passwortmanager Passkeys unter Windows synchronisieren und ihnen vertrauen. Zweitens, und ebenso wichtig: Jeder dieser Angriffe braucht bereits laufende Schadsoftware auf Ihrem PC. Nichts davon reicht über das Internet an einen sauberen Rechner heran. Ist allerdings bereits ein Datendieb auf dem Computer aktiv, erlaubt der schlimmste Fall („Golden Pass-ta-key"), einen Hauptschlüssel aus dem Arbeitsspeicher von Chrome zu ziehen und damit jeden synchronisierten Passkey zu entschlüsseln. Google wurde vor der Veröffentlichung informiert, und einige betroffene Seiten haben bereits nachgebessert.
Die Lehre daraus lautet also nicht „Passkeys nicht mehr benutzen". Es ist dieselbe Lektion, die fast jeder von uns beschriebenen Bedrohung zugrunde liegt: Halten Sie Schadsoftware von Anfang an vom Rechner fern, denn das ist der Dominostein, von dem alles andere abhängt. Führen Sie keine Installer aus Suchanzeigen oder von zufälligen Download-Seiten aus, halten Sie Windows und Chrome auf dem neuesten Stand, und wer die robusteste Option möchte: Ein Hardware-Sicherheitsschlüssel oder ein gerätegebundener Passkey lässt sich nicht in die Cloud synchronisieren - und ist dieser Gefahr damit gar nicht erst ausgesetzt.
Da diese Angriffe erst greifen, wenn bereits etwas Bösartiges installiert ist, macht sich Tendvanes Sicherheitsprüfung hier bezahlt: Sie meldet unerwartete Programme, die aus Ihrem AppData- oder Temp-Ordner automatisch starten, sowie Browser-Erweiterungen, die Sie nicht kennen - genau die Rückstände, die ein Infostealer typischerweise hinterlässt.