In questo articolo Indice dei contenuti 2 sezioni
Le passkey di Google non sono più il porto sicuro che molti immaginavano, almeno non quando il computer da cui si accede è già stato compromesso. I ricercatori di Unit 42 hanno descritto tre tecniche che prendono di mira Google Password Manager all’interno di Chrome per Windows, con un obiettivo preciso: arrivare alle credenziali senza dover scardinare nulla dal punto di vista matematico. Nessuna crittografia violata, nessun algoritmo messo in ginocchio. Solo un percorso laterale che sfrutta il modo in cui le passkey vengono salvate, sincronizzate e recuperate.
Il punto di partenza va chiarito subito, perché fa tutta la differenza del mondo. Queste tecniche funzionano soltanto su una macchina già infetta, dove un attaccante ha ottenuto un accesso valido e può muoversi con i privilegi dell’utente. Non si tratta quindi di un difetto che espone chiunque usi le passkey, e nemmeno di una falla che permette di intercettare un accesso a distanza. È piuttosto la dimostrazione che, oltre un certo livello di compromissione, anche i meccanismi progettati per essere resistenti al phishing perdono parte del loro vantaggio.
Come funziona il trucco delle tre tecniche
Il filo conduttore dei tre metodi individuati da Unit 42 è la fiducia nel dispositivo. Le passkey nascono per eliminare la password tradizionale, sostituendola con una coppia di chiavi crittografiche in cui quella privata resta custodita sul dispositivo dell’utente. Il problema è che quel dispositivo, in questo scenario, non è più affidabile. E se il sistema operativo considera legittimo chi sta operando, allora anche le richieste di autenticazione vengono trattate come richieste normali.
Da qui derivano i tre punti debolii messi in evidenza. La sincronizzazione, che consente di portare le proprie passkey su più dispositivi collegati allo stesso account, diventa una superficie da studiare: quello che viaggia tra i dispositivi può essere osservato o dirottato da chi ha già il controllo della macchina. Il recupero, pensato per non lasciare a piedi chi perde il telefono o cambia computer, è per definizione una procedura che aggira la normale catena di verifica, e proprio per questo può essere piegata a fini diversi. Infine c’è la componente di fiducia locale, quella per cui il browser dà per buono il contesto in cui si trova.
Cosa cambia davvero per chi usa le passkey
Sarebbe un errore leggere questa ricerca come una bocciatura delle passkey. Restano un sistema più solido delle password, soprattutto contro il phishing, che è tuttora il vettore d’attacco più efficace in circolazione. Un codice inviato via messaggio si può rubare con una pagina falsa, una chiave privata legata al dispositivo no. Quel vantaggio non viene toccato dalle tecniche descritte.
Cambia però la prospettiva su cosa vada protetto. Se la sicurezza dell’autenticazione si appoggia sul dispositivo compromesso oppure integro, allora l’igiene di base del computer torna al centro: aggiornamenti, attenzione a cosa si installa, controllo delle estensioni del browser, protezione degli account collegati. La difesa non si sposta più solo sul come si accede, ma su chi ha davvero le mani su quella macchina.
Il messaggio che arriva dai ricercatori è tecnico ma anche piuttosto pratico. Le funzioni di comodità, quelle che rendono le passkey usabili su larga scala e che convincono le persone ad abbandonare le vecchie abitudini, sono le stesse che allargano la superficie da presidiare. Sincronizzare tutto e poter recuperare tutto ha un costo, e quel costo si paga nel momento in cui un endpoint cade. Le tre tecniche su Chrome per Windows servono esattamente a mostrare dove quel costo si nasconde.
