Sicherheitsforscher von Palo Alto Networks haben mehrere Wege gefunden, wie Angreifer passwortgeschützte Konten trotz Passkey-Anmeldung übernehmen können. Die Angriffe setzen allerdings voraus, dass bereits Schadsoftware auf dem Gerät des Opfers läuft.
Passkeys gelten als besonders sichere Alternative zu Passwörtern, weil Nutzer keine geheimen Zugangsdaten mehr eingeben müssen. Dadurch entfallen viele klassische Phishing- und Passwortdiebstahl-Angriffe. Die Untersuchung von Unit 42 zeigt jedoch, dass Passkeys nicht automatisch vor einer Kontenübernahme schützen, wenn der Computer oder das Smartphone bereits infiziert ist.
Angriff über das bereits kompromittierte Gerät
Nach Angaben der Forscher kann Schadsoftware auf einem betroffenen Gerät die Abläufe rund um Passkeys, Gerätefreigaben und Kontowiederherstellungen missbrauchen. In bestimmten Fällen sei dadurch eine Anmeldung ohne bewusste Aktion des Nutzers möglich. Je nach Dienst könne der Angreifer dabei sogar zusätzliche Sicherheitsabfragen umgehen.
Die Forscher beschreiben drei Angriffsszenarien. Im ersten Fall nutzt die Schadsoftware das Vertrauen aus, das ein bereits registriertes Gerät beim jeweiligen Dienst genießt. Dadurch kann sich ein Angreifer unter Umständen als Nutzer anmelden, ohne dass dieser eine PIN eingibt oder eine biometrische Bestätigung erteilt.
Ein zweiter Angriff zielt auf die erneute Registrierung eines Geräts. Dabei versucht der Angreifer, die bestehende Gerätefreigabe zurückzusetzen und einen eigenen digitalen Schlüssel zu hinterlegen. Gelingt dies, kann er sich später auch ohne das Gerät des Opfers bei geschützten Konten anmelden.
Im dritten Szenario geht es um synchronisierte Passkeys. Unit 42 zufolge kann Schadsoftware unter bestimmten Bedingungen den zentralen Schlüssel erlangen, mit dem mehrere Passkeys geschützt werden. Dadurch könnten Angreifer zahlreiche Konten übernehmen, die mit demselben System verbunden sind.
Kein Bruch der Verschlüsselung
Die Forscher betonen, dass die grundlegende Verschlüsselung der Passkeys nicht gebrochen wurde. Die Schwachstellen liegen vielmehr in der praktischen Umsetzung: bei der Vertrauensstellung von Geräten, bei der Geräte-Wiederherstellung und bei der Prüfung, ob eine Nutzerbestätigung tatsächlich stattgefunden hat.
Zudem akzeptieren nicht alle Online-Dienste die Sicherheitsinformationen eines Passkeys konsequent. Wenn ein Dienst nicht zuverlässig prüft, ob der Nutzer eine PIN oder biometrische Bestätigung vorgenommen hat, kann die zusätzliche Schutzwirkung deutlich geringer ausfallen. Unit 42 meldete die festgestellten Probleme den betroffenen Anbietern; mindestens eine der beschriebenen Lücken wurde inzwischen geschlossen.
Auch Unternehmen setzen auf Passkeys
Für Unternehmen bleibt der Einsatz von Passkeys sinnvoll. Die Technologie reduziert das Risiko gestohlener Passwörter und erschwert klassische Phishing-Angriffe. Sie darf jedoch nicht als alleinige Sicherheitsmaßnahme verstanden werden.
Unternehmen sollten vor allem Endgeräte gegen Schadsoftware schützen, die Registrierung neuer Geräte kontrollieren und unerwartete Wiederherstellungs- oder PIN-Abfragen ernst nehmen. Besonders privilegierte Konten von Administratoren, Cloud-Verantwortlichen und Finanzabteilungen benötigen zusätzliche Überwachung.
Mehr bei PaloAltoNetworks.com
Über Palo Alto Networks Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.
One thought on “Forscher finden neue Angriffsmöglichkeiten auf Passkeys”
Kommentare geschlossen