मुख्य तथ्य
- शोधकर्ता
- Palo Alto Networks की Unit 42
- तकनीकों की संख्या
- तीन
- लक्षित प्लेटफ़ॉर्म
- Windows कंप्यूटर
- प्रभावित सेवा
- Google Password Manager
- प्रदर्शित समस्या
- eBay पर कॉन्फ़िगरेशन समस्या, जिसे ठीक किया गया
- सिफारिश
- वेबसाइटें उपयोगकर्ता सत्यापन अनिवार्य करें
पृष्ठभूमि
Palo Alto Networks की शोध इकाई Unit 42 ने तीन तरीके प्रदर्शित किए हैं जिनसे Windows कंप्यूटर पर चल रहा मैलवेयर Google Password Manager के माध्यम से सिंक की गई पासकी का दुरुपयोग कर सकता है। ये तकनीकें संरक्षित ऑनलाइन खातों तक पहुंच बनाने में सक्षम हैं।
शोध का दायरा सीमित है, लेकिन महत्वपूर्ण है। हर तकनीक की शुरुआत उस स्थिति से होती है जब मैलवेयर पहले से ही Windows कंप्यूटर पर लॉग-इन उपयोगकर्ता के खाते में चल रहा हो। यह शोध Android फोन पर सीधे हमले या WebAuthn क्रिप्टोग्राफी में सेंध का वर्णन नहीं करता।
वर्तमान स्थिति
पहली तकनीक, जिसे 'Pass-ta-key' नाम दिया गया है, Chrome को सामान्य उपयोगकर्ता विशेषाधिकार पर उपलब्ध डिवाइस पहचान कुंजी का उपयोग करती है। मैलवेयर कंप्यूटर के सुरक्षा चिप से अनुरोध पर हस्ताक्षर करवाकर प्रमाणीकरण प्राप्त कर सकता है, जब वेबसाइट उपयोगकर्ता सत्यापन की मांग नहीं करती या उसे सही ढंग से मान्य नहीं करती।
दूसरी तकनीक 'Silver Pass-ta-key' कंप्यूटर को Google Password Manager की ऑनबोर्डिंग प्रक्रिया से दोबारा गुजारती है और हमलावर-नियंत्रित सत्यापन कुंजी पंजीकृत करती है। तीसरी तकनीक 'Golden Pass-ta-key' सिंक की गई पासकी को डिक्रिप्ट करने के लिए इस्तेमाल होने वाले सुरक्षा-डोमेन रहस्य को लक्षित करती है। Google ने खुलासे के बाद Chrome के डिवाइस लॉग से यह रहस्य हटा दिया, लेकिन Unit 42 ने पाया कि मैलवेयर इसे ब्राउज़र मेमोरी से पुनर्प्राप्त कर सकता है।
प्रभाव
इन तकनीकों का प्रभाव उन वेबसाइटों पर निर्भर करता है जो उपयोगकर्ता सत्यापन को अनिवार्य नहीं बनातीं या WebAuthn के उपयोगकर्ता-सत्यापित फ्लैग की जांच नहीं करतीं। Unit 42 ने यह समस्या eBay पर प्रदर्शित की, जिसे eBay ने सुधार लिया।
Google Password Manager एक ही एन्क्रिप्टेड पासकी को उपयोगकर्ता के विभिन्न डिवाइसों पर उपलब्ध करा सकता है। Google ने Chrome पर Android के लिए स्वचालित पासकी निर्माण भी लाया है, जिससे सहेजे गए पासवर्ड को बदलने के चरण कम हो गए हैं। FIDO Alliance के अनुसार, पासकी अब व्यापक उपभोक्ता स्वीकृति तक पहुंच चुकी हैं और अरबों क्रेडेंशियल उपयोग में हैं।
भविष्य की संभावनाएं
विश्लेषणात्मक परिदृश्य: नीचे दी गई संभावनाएं निश्चित भविष्यवाणी नहीं हैं।
Unit 42 अनुशंसा करता है कि वेबसाइटें उपयोगकर्ता सत्यापन को अनिवार्य बनाएं और उसे मान्य करें। यदि वेबसाइटें ऐसा करती हैं, तो बुनियादी Pass-ta-key हमले को खारिज किया जा सकता है।
क्रेडेंशियल प्रबंधकों को नई डिवाइस कुंजियों को मान्य करना चाहिए और स्थानीय फ़ाइलों तथा ब्राउज़र मेमोरी में रखे गए पुनर्प्राप्ति डेटा की सुरक्षा करनी चाहिए। यदि ये उपाय लागू किए जाते हैं, तो Silver और Golden Pass-ta-key जैसी तकनीकों का प्रभाव सीमित हो सकता है।
हालांकि, यदि वेबसाइटें और क्रेडेंशियल प्रबंधक इन अनुशंसाओं को लागू नहीं करते हैं, तो मैलवेयर इन तकनीकों का उपयोग जारी रख सकता है। यह स्पष्ट नहीं है कि भविष्य में इसी तरह की अन्य कमजोरियां सामने आएंगी या नहीं।
स्रोत: mobileidworld.com
