Nova investigação abre uma brecha nas chaves de acesso sincronizadas da Google - eis o que isso significa e o que não significa
Já dedicámos boa parte deste blogue a dizer-lhe que as chaves de acesso são a forma mais segura de iniciar sessão - e continuam a ser. Mas uma investigação divulgada esta semana merece uma menção honesta, porque abre uma brecha numa configuração específica. A 3 de agosto, a equipa Unit 42 da Palo Alto Networks publicou três ataques - apelidados de Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key - que permitem ao malware sequestrar as chaves de acesso que a Google sincroniza entre os seus dispositivos.
Há duas coisas que importa saber antes de entrar em pânico. Primeiro, isto não quebra as chaves de acesso em si - a criptografia subjacente permanece intacta, e as chaves de acesso continuam a não poder ser roubadas por phishing como acontece com uma palavra-passe digitada. O que os investigadores encontraram foram falhas na forma como o Chrome e o Google Password Manager sincronizam e confiam nas chaves de acesso no Windows. Segundo, e igualmente importante: todos estes ataques exigem que já exista malware em execução no PC. Nada disto alcança pela internet uma máquina limpa. No entanto, se já houver um ladrão de dados no computador, o pior cenário ("Golden Pass-ta-key") permite-lhe extrair uma chave mestra da memória do Chrome e desencriptar todas as chaves de acesso que sincronizou. A Google foi avisada antes de as conclusões se tornarem públicas, e alguns sites afetados já reforçaram as suas defesas.
Por isso, a conclusão não é "deixar de usar chaves de acesso". É a mesma lição que está por trás de quase todas as ameaças que abordamos: manter o malware fora da máquina em primeiro lugar, porque é essa a peça de dominó de que tudo o resto depende. Não execute instaladores vindos de anúncios de pesquisa ou de páginas de download aleatórias, mantenha o Windows e o Chrome atualizados, e se quiser a opção mais robusta de todas, uma chave de segurança física ou uma chave de acesso vinculada ao dispositivo não pode ser sincronizada com a nuvem - por isso não fica exposta a nada disto.
Como estes ataques só arrancam depois de algo nocivo já estar instalado, a verificação de Segurança do Tendvane justifica aqui a sua utilidade: assinala programas inesperados que arrancam automaticamente a partir das pastas AppData ou Temp, e extensões de navegador que não reconhece - exatamente os resquícios que um ladrão de informações costuma deixar.