Badacz bezpieczeństwa zaprezentował metodę ataku o nazwie Pass-ta-key, wymierzoną w cyfrowe klucze dostępu służące do bezpiecznego uwierzytelniania użytkowników bez użycia tradycyjnych haseł. Zastosowana technika wywołała szeroką dyskusję dotyczącą faktycznego poziomu ochrony nowoczesnych poświadczeń w środowisku Windows.
Analityk z firmy Palo Alto Networks wykazał możliwość sprawnego przechwycenia kluczy dostępu przechowywanych w aplikacji Google Password Manager. Zgodnie z przedstawionym scenariuszem technologicznym, atak wymaga wcześniejszego zainfekowania komputera przez złośliwe oprogramowanie, które uzyskuje bezpośredni dostęp do danych przetwarzanych przez uruchomiony w systemie program.
Zademonstrowana metoda wywołała sporą dezorientację wśród użytkowników oraz specjalistów, którzy zakładali, że klucze dostępu są chronione wyłącznie w sprzętowym module TPM. Moduł TPM to dedykowany, zabezpieczony układ scalony wbudowany w płytę główną komputera, przeznaczony do bezpiecznego szyfrowania i przechowywania najbardziej wrażliwych informacji poświadczających.
Analitycy branżowi zaznaczają jednak, że opisywane zagrożenie nie dotyczy bezpośrednio samej technologii kluczy dostępu, lecz konkretnego sposobu ich implementacji w programach użytkowych. Cyfrowe klucze stanowią bezpieczniejszą alternatywę dla standardowych haseł, ale ich odporność na przejęcie zależy od architektury danej aplikacji.
Pełny artykuł na powyższy temat: