Lühidalt: Unit 42 andmetel suudab juba kompromiteeritud lõppseadmetel leviv pahavara ülevõtta turvavõtmetega (passkey) kaitstud Google’i kontosid, kasutades ära kasutuselevõtu-, taastamis- ja usaldusmehhanisme, ilma et turvavõtmete krüptograafiat ennast murtaks.
Palo Alto Networksi üksuse Unit 42 raport toob välja kolm rünnaketeed, mille abil pahavara juba kompromiteeritud lõppseadmel saab ülevõtta turvavõtmetega kaitstud kontosid. Mõjutatud ei ole turvavõtmete krüptograafia iseenesest, vaid nende ümber olevad kasutuselevõtu-, taastamis- ja seadme usaldusmehhanismid.
Palo Alto Networksi Unit 42 kirjeldas koondnimetuse „Pass-ta-key” all kolme rünnakukategooriat Google’iga sünkroonitud turvavõtmete vastu. „Pass-ta-key” rünnaku puhul võtab ründaja ohvri seadmesse paigutatud pahavara abil üle turvavõtmega kaitstud konto, ilma et selleks oleks vaja õiguste eskaleerimist, seadme lahtilukustamist või kasutaja tegevust. „Silver Pass-ta-key” petab Google Cloud Authenticatorit uskuma, et ohver on teostanud biomeetrilise lahtilukustuse, mis võimaldab konto täieliku ülevõtmise ilma, et autentimise ajal oleks vaja ohvri seadmele juurdepääsu. „Golden Pass-ta-key” võimaldab kõikide sünkroonitud turvavõtmete väljavõtmist kujul, mida saab edasi müüa juurdepääsuandmete varimajanduses.
Analüütikud ja konsultandid rõhutavad üksmeelselt, et turvavõtmete aluseks olevat krüptograafiat ei murtud. Konsultatsioonifirma Acceligence tegevjuht Justin Greis kirjeldab seda nii: uurijad ei rünnanud krüptograafiat ennast, vaid kasutasid ära selle kõrval olevaid liidesekohti — kasutuselevõtuprotsesse, taastamismehhanisme ja usaldussignaale, mida ei valideeritud. IDC turbevaldkonna asepresident Frank Dickson toonitab, et rünnakud eeldavad lõpp-punkti eelnevat edukat kompromiteerimist. Tegemist ei ole internetist tuleva rünnakuga turvavõtmete vastu, vaid sellega, mida ründaja teeb, kui ta on süsteemis juba sees. „Andmepüügikindel” lakkab olema kindel hetkest, mil lõpp-punkt ei ole enam puhas.
Ettevõtete infoturbejuhtidele (CISO), kes juurutavad parooliteta strateegiaid, mille esimeseks sammuks on turvavõtmed keerulistes, osaliselt vanapärandit sisaldavates või virtualiseeritud keskkondades, on kesksel kohal vahetegemine spetsifikatsiooni ja selle rakenduse vahel. Greis viitab, et mitmel raportis nimetatud juhul ei peitu probleem standardis endas, vaid selles, et rakendused ei ole standardiga sammu pidanud — spetsifikatsioon on kindel, rakenduste ökosüsteem on aga ebaühtlane. FormerGov tegevdirektor Brian Levine lisab konkreetse soovituse: teenused, kus organisatsioon tegutseb osapoolena (relying party), peaksid nõudma kasutaja verifitseerimist ja tegelikult kontrollima autentimisvastuses sisalduvat vastavat „user-verified” lippu. Uurijad leidsid reaalselt eksisteerivaid teenuseid, mis aktsepteerisid sisselogimisi selle liputa, mistõttu mitmefaktoriline sisselogimine taandub sisuliselt ühele üksikule faktorile.
Kuna edukas esmane kompromiteerimine eeldab tihti vaid ühe privilegeeritud kasutaja klikki ettevalmistatud lingile või manusele, peavad küsitletud eksperdid eelneva tungimise eeldust realistlikuks ja raporti asjakohaseks. Dickson soovitab infoturbejuhtidel lõpetada verifitseerimise käsitlemine valikulise sammuna ning selle asemel muuta see kohustuslikuks osaks igast turvavõtme juurutusest, mida tuleb kontrollida ja jõustada.
Allikas: www.csoonline.com · Avaldatud 6. august 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse art. 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.