Windows 版 Chrome の Google パスワードマネージャーに保存されたパスキーが、「Pass-ta-key」と呼ばれる攻撃手法によって、マルウェアに感染したデバイス上で第三者に不正利用される可能性があることが報告されました。
対象は TPM (トラステッド プラットフォーム モジュール) を搭載した Windows デバイスですが、すでにマルウェアに感染している場合に起こるため、問題のない状態であれば影響はありません。
3 種類の攻撃手法「Pass-ta-key」
Palo Alto Networks の脅威分析チーム Unit 42 によると、この攻撃手法を総称して「Pass-ta-key」と名付けており、内容は 3 段階に分かれています。
Pass-ta-key: 識別鍵を悪用した不正ログイン
マルウェアがデバイスの識別鍵を抽出し、ユーザーの操作や生体認証を経ずに Google のクラウド認証サーバーへ署名済みリクエストを送信できることが確認されています。これにより、管理者権限がない状態でも攻撃者が正規ユーザーになりすましてログインを完了できるとしています。
Silver Pass-ta-key: 本人確認鍵のすり替え
デバイスの本人確認鍵を無効化したうえで、攻撃者側のキーを新たに登録させる手法です。
クラウド認証サーバー側がこのキーの出どころを検証していないため、以降は攻撃者がデバイスに触れることなく、生体認証済みであるかのように偽装してログインできる状態になるとされています。
Golden Pass-ta-key: 暗号鍵 (SDS) の窃取
パスキーの秘密鍵を保護する暗号鍵 (SDS: セキュリティドメインシークレット) そのものを狙う手法です。
Chrome の内部ログや処理中のメモリ上に SDS が平文で一時的に残ることが確認されており、これを取得されると、既存および今後作成されるすべての同期済みパスキーが復号される恐れがあるとしています。
影響を受ける条件と受けない条件
今回報告されている問題の影響を受けるユーザーは、TPM 搭載の Windows デバイス上で Chrome を使用しており、かつデバイスがマルウェアに感染している場合に限られます。そのため、そもそもマルウェアに感染していないデバイスであれば、今回報告されている問題は発生しません。
また、ログイン先のサービス側が WebAuthn の本人確認要件を厳格に検証している場合、最初の手法は失敗する例も確認されています。
Unit 42 の検証では eBay がこの検証漏れを抱えていましたが、報告を受けて既に修正済みであるとしています。
Google の対応状況
Unit 42 は発見した脆弱性を Google に報告済みとしており、このうち SDS がログに記録される問題については、Google 側で既に修正されたことが確認されています。
一方、SDS がメモリ上に一時的に残る問題や、本人確認鍵の登録時に出どころを検証していない問題について、Google が対応を完了したかどうかは明らかになっていません。
