Parol ham, barmoq izi ham kerak emasmi? Google Passkey tizimidagi yangi zaiflik foydalanuvchilar uchun qanday xavf tug’dirmoqda?

Kiberxavfsizlik sohasida so’nggi yillarning eng muhim yangiliklaridan biri sifatida e’tirof etilgan Passkey texnologiyasi foydalanuvchilarni parol bilan bog’liq tahdidlardan himoya qilish maqsadida ishlab chiqilgan edi. Ushbu texnologiya fishing hujumlari, parolni taxmin qilish (Brute Force), ma’lumotlar bazasi sizib chiqishi va hisob ma’lumotlarini qayta ishlatishga (Credential Stuffing) qarshi samarali himoya vositasi sifatida ko’rilmoqda.

Biroq tadqiqotchilar tomonidan o’tkazilgan yangi tahlillar Google Chrome brauzerining Google Cloud Authenticator bilan ishlash mexanizmida bir qator jiddiy kamchiliklar mavjudligini aniqladi. Mazkur zaifliklardan foydalangan holda zararli dastur (Malware) foydalanuvchining paroli, PIN-kodi yoki biometrik tasdiqlashisiz Google hisobiga sinxronlashtirilgan Passkey ma’lumotlarini noqonuniy qo’lga kiritishi hamda foydalanuvchi nomidan autentifikatsiyadan o’tishi mumkin.

Eng xavotirli jihati shundaki, buning uchun tajovuzkor foydalanuvchi qurilmasiga avvaldan zararli dastur joylashtira olgan bo’lishi kifoya qiladi.

Passkey texnologiyasi qanday ishlaydi?

Passkey — bu an’anaviy parollar o’rnini bosuvchi zamonaviy autentifikatsiya usuli bo’lib, u ochiq va yopiq kalitlar (Public-Key Cryptography) tamoyiliga asoslanadi.

Ro’yxatdan o’tish jarayonida:

  • xizmat serverida faqat ochiq kalit (Public Key) saqlanadi;
  • yopiq kalit (Private Key) esa foydalanuvchining qurilmasida himoyalangan holda saqlanadi;
  • autentifikatsiya vaqtida yopiq kalit qurilmadan tashqariga chiqmaydi.

Shu sababli Passkey texnologiyasi nazariy jihatdan fishing sahifalari, parol o’g’irlanishi yoki ma’lumotlar bazasi sizib chiqishiga nisbatan ancha xavfsiz hisoblanadi.

Ammo yangi tadqiqot Passkey kriptografiyasi emas, balki uning amaliy implementatsiyasi zaif bo’lishi mumkinligini ko’rsatdi.

Chrome brauzerida aniqlangan muammo

Tadqiqotchilar Google Chrome brauzeri sinxronlashtirilgan Passkey ma’lumotlari haqida ayrim metama’lumotlarni lokal kompyuterda shifrlanmagan ma’lumotlar bazasida saqlashini aniqladilar.

Natijada oddiy foydalanuvchi huquqlarida ishlayotgan zararli dastur ham:

  • foydalanuvchi qaysi xizmatlarda Passkey’dan foydalanayotganini aniqlashi;
  • autentifikatsiya uchun zarur bo’lgan ma’lumotlarni tahlil qilishi;
  • keyingi hujum bosqichlarini rejalashtirishi mumkin.

Bu esa tajovuzkor uchun qurbonning barcha muhim akkauntlari haqida qimmatli razvedka ma’lumotlarini taqdim etadi.

«Identity Key» qanday o’g’irlanmoqda?

Google Cloud Authenticator qurilmaning ishonchliligini tasdiqlash uchun Identity Key deb nomlanuvchi maxsus kriptografik kalitdan foydalanadi.

Ideal holatda ushbu kalit kompyuterning Trusted Platform Module (TPM) xavfsizlik chipida doimiy saqlanishi va eksport qilib bo’lmaydigan bo’lishi kerak.

Ammo tadqiqotchilar aniqlashicha, Chrome ayrim holatlarda ushbu kalitni vaqtinchalik eksport qilinadigan obyekt sifatida yaratadi.

Natijada zararli dastur:

  • Identity Key’ni operativ xotiradan ajratib olishi;
  • Windows kriptografik API’laridan foydalanib Chrome nomidan autentifikatsiya so’rovlarini imzolashi;
  • Google serverlariga haqiqiy qurilma sifatida ko’rinishi mumkin.

Shu tariqa tajovuzkor foydalanuvchining PIN-kodi, barmoq izi yoki yuzni aniqlash tizimini umuman ishga tushirmasdan autentifikatsiyadan muvaffaqiyatli o’tadi.

Mazkur usul tadqiqotchilar tomonidan «Pass-ta-key» hujumi deb nomlandi.

«Silver Pass-ta-key» hujumi

Tadqiqot davomida bundan ham xavfliroq ssenariy aniqlandi.

Agar zararli dastur Chrome brauzeridagi Passkey holati faylini o’chirib yuborsa yoki buzsa, brauzer foydalanuvchini qayta ro’yxatdan o’tkazish (Re-Onboarding) jarayonini boshlaydi.

Aynan shu bosqichda Google Cloud Authenticator yangi qurilmaga tegishli tekshiruv kalitini yetarli darajada tekshirmasdan qabul qilishi mumkin.

Natijada:

  • tajovuzkor o’z qurilmasini foydalanuvchining ishonchli qurilmasi sifatida ro’yxatdan o’tkazadi;
  • doimiy autentifikatsiya imkoniyatiga ega bo’ladi;
  • hatto ko’p bosqichli autentifikatsiya (Multi-Factor Authentication — MFA) talab qilinadigan xizmatlarda ham foydalanuvchi nomidan tizimga kirishi mumkin.

Bu hujum usuli «Silver Pass-ta-key» nomini oldi.

Eng xavfli ssenariy — «Golden Pass-ta-key»

Eng jiddiy tahdid sifatida baholangan usul esa Golden Pass-ta-key hisoblanadi.

Google sinxronlashtirilgan barcha Passkey ma’lumotlarini Security Domain Secret (SDS) deb ataluvchi yagona asosiy shifrlash kaliti yordamida himoya qiladi.

Tadqiqotchilar ushbu 32 baytli maxfiy kalit:

  • Chrome ichki diagnostika loglarida qisqa vaqt davomida ko’rinishi;
  • qurilmani tiklash (Recovery) jarayonida operativ xotirada mavjud bo’lishi mumkinligini aniqladilar.

Agar zararli dastur ushbu SDS kalitini qo’lga kiritsa:

  • foydalanuvchining barcha sinxronlashtirilgan Passkey ma’lumotlarini deshifrlashi;
  • mavjud va keyinchalik yaratiladigan Passkey’lardan foydalanishi;
  • foydalanuvchi tahdidni aniqlagandan keyin ham tizimga kirishni davom ettirishi mumkin.

Hozirgi vaqtda Google tomonidan ushbu asosiy SDS kalitini foydalanuvchi mustaqil ravishda almashtirishi yoki rotatsiya qilishi imkoniyati mavjud emas. Shu sababli bunday komprometatsiya uzoq muddatli xavf tug’dirishi mumkin.

Passkey texnologiyasi buzildimi?

Yo’q.

Tadqiqotchilar alohida ta’kidlashicha, mazkur tadqiqot Passkey kriptografik algoritmlarining zaifligini emas, balki ularni amalda qo’llash jarayonidagi implementatsiya kamchiliklarini ochib berdi.

Boshqacha aytganda:

  • ochiq va yopiq kalitlar mexanizmi ishonchli ishlashda davom etmoqda;
  • zaiflik qurilmaga bo’lgan ortiqcha ishonch va autentifikatsiya jarayonidagi ayrim tekshiruvlarning yetarli emasligidan kelib chiqmoqda.

Kimlar xavf ostida?

Mazkur tahdid, avvalo:

  • Google Chrome orqali Google hisobiga sinxronlashtirilgan Passkey’lardan foydalanuvchilar;
  • korporativ Google Workspace foydalanuvchilari;
  • Passkey yordamida elektron pochta, moliyaviy xizmatlar va bulut platformalariga kiruvchi foydalanuvchilar;
  • kompyuteriga zararli dastur o’rnatilgan shaxslar uchun dolzarb hisoblanadi.

Ta’kidlash joizki, tajovuzkor avvalo qurilmaga zararli dastur joylashtirishi zarur. Demak, ushbu zaiflik masofadan turib bevosita ekspluatatsiya qilinmaydi, ammo kompyuter komprometatsiya qilingan holatda oqibatlari juda og’ir bo’lishi mumkin.

Himoyalanish bo’yicha tavsiyalar

Mutaxassislar quyidagi choralarni tavsiya etmoqda:

  • Operatsion tizim, Google Chrome va boshqa dasturlarni doimiy ravishda eng so’nggi versiyagacha yangilab boring.
  • Qurilmalarda ishonchli antivirus va EDR (Endpoint Detection and Response) yechimlaridan foydalaning.
  • Noma’lum dasturlarni o’rnatmang hamda administrator huquqlarini faqat zarurat tug’ilgandagina bering.
  • Fishing havolalari, zararli elektron xatlar va soxta dasturlardan ehtiyot bo’ling, chunki mazkur hujumning boshlanish nuqtasi ko’pincha aynan zararli dastur hisoblanadi.
  • Korporativ muhitlarda brauzer credential storage’lariga ruxsatlarni cheklash, qurilma attestatsiyasini qat’iy tekshirish hamda autentifikatsiya va qayta ro’yxatdan o’tish (Onboarding/Recovery) jarayonlaridagi noodatiy faollikni muntazam monitoring qilish tavsiya etiladi.
  • Muhim akkauntlarda xavfsizlik hodisalari haqida bildirishnomalarni yoqish va hisob faoliyatini muntazam tekshirib borish maqsadga muvofiq.

Passkey texnologiyasi hanuzgacha parollarga nisbatan ancha ishonchli autentifikatsiya usuli bo’lib qolmoqda. Biroq ushbu tadqiqot har qanday zamonaviy xavfsizlik mexanizmining samaradorligi faqat kriptografik algoritmlarga emas, balki uning amaliy implementatsiyasi va qurilma xavfsizligiga ham bevosita bog’liqligini yana bir bor isbotladi.

Shu bois foydalanuvchilar nafaqat kuchli autentifikatsiya vositalaridan foydalanishlari, balki o’z qurilmalarini zararli dasturlardan himoyalash, dasturiy ta’minotni muntazam yangilab borish va kiberxavfsizlik gigiyenasiga qat’iy rioya qilishlari zarur. Aks holda, eng zamonaviy autentifikatsiya texnologiyasi ham qurilma komprometatsiya qilingan taqdirda kutilgan darajadagi himoyani ta’minlay olmasligi mumkin.