Eine von Sicherheitsforschern entdeckte Schwachstelle im Google Passwort Manager kann unter bestimmten Voraussetzungen zur Übernahme von Konten führen. Die als „Pass-ta-key“ bezeichneten Angriffsmöglichkeiten betreffen jedoch ausschließlich Windows-Systeme, die bereits mit Schadsoftware infiziert wurden. Die eigentliche Verschlüsselung der Passkeys ist nach bisherigen Erkenntnissen nicht betroffen.
Passkeys gelten als sichere Alternative zu herkömmlichen Passwörtern. Bei der Anmeldung kommen beispielsweise Fingerabdruck oder Gesichtserkennung zum Einsatz. Dabei wird ein privater Schlüssel auf dem Gerät mit einem öffentlichen Schlüssel beim jeweiligen Online-Dienst kombiniert. Dadurch sollen insbesondere Phishing und der Diebstahl von Zugangsdaten erschwert werden.
Für einen erfolgreichen Angriff müssen mehrere Voraussetzungen erfüllt sein: Der Google Passwort Manager in Chrome muss genutzt werden und der Windows-Rechner benötigt ein TPM. Zusätzlich muss das System bereits durch bestimmte Schadsoftware kompromittiert sein.
Die Sicherheitsforscher unterscheiden drei Angriffsmethoden. Bei „Pass-ta-key“ kann sich Schadsoftware als vertrauenswürdiges Gerät ausgeben. Bei „Pass-ta-key silver“ wird dem Passwort-Manager eine erfolgreiche biometrische Entsperrung vorgetäuscht. Dadurch können Angreifer eigene Schlüssel hinterlegen. Die Variante „Pass-ta-key gold“ ermöglicht unter bestimmten Bedingungen sogar die Entschlüsselung synchronisierter Passkeys und damit die vollständige Übernahme eines Kontos.
Google hat bereits reagiert und unter anderem verhindert, dass ein wichtiger Schlüssel in Chrome-Protokollen erscheint. Die Angriffe auf Software-Lieferketten zeigen aber erneut, wie eng IT-Sicherheit, Datenschutz und sichere Prozesse miteinander verbunden sind. Eine fachkundige Prüfung von Abhängigkeiten, Sicherheitsmaßnahmen und relevanten Normen kann helfen, Risiken frühzeitig zu erkennen und die eigene IT belastbarer aufzustellen.
DSGVO und BDSG Beratung und Umsetzung mit tec4net
https://www.tec4net.com/web/datenschutz/
Wir sind Experten für Datenschutz und IT-Sicherheit
Profitieren Sie von unserer umfassenden Beratung zu den Themen Datenschutz und IT-Sicherheit. Unser erfahrenes Team unterstützt Sie dabei, Ihre Website und digitalen Dienste datenschutzkonform zu gestalten um die gesetzlichen Vorgaben zu erfüllen.
Kontaktieren Sie uns noch heute und sichern Sie sich praxisnahe Beratung zur Umsetzung der DSGVO und Normen wie ISO 27001, PCI-DSS oder TISAX.
Datenschutz und IT-Sicherheit praktikabel umsetzen – tec4net GmbH
www.tec4net.com – www.it-news-blog.com – www.it-sachverstand.info – www.datenschutz-muenchen.com – www.it-sicherheit-muenchen.com
Alle unsere NEWS -> http://news.tec4net.com