Dalla scorsa estate Google ha iniziato a vendere chiavi hardware (ovvero token) per semplificare il processo di autorizzazione a due fattori per accedere a un account con i servizi dell’azienda. I token semplificano la vita agli utenti che possono dimenticarsi di inserire manualmente password incredibilmente complesse e rimuovere anche i dati identificativi dai dispositivi: computer e smartphone. Lo sviluppo si chiamava Titan Security Key e veniva offerto sia come dispositivo USB che con connessione Bluetooth. Secondo Google, dopo l'inizio dell'utilizzo dei token all'interno dell'azienda, durante l'intero periodo successivo non si è verificato un solo fatto di hacking degli account dei dipendenti. Purtroppo, è stata ancora rilevata una vulnerabilità nella chiave di sicurezza Titan, ma a merito di Google, è stata scoperta nel protocollo Bluetooth Low Energy. Le chiavi collegate tramite USB rimangono invulnerabili agli attacchi hacker.
Come Sul sito Web di Google è stato riscontrato che alcuni token Bluetooth Titan Security Key presentano una configurazione Bluetooth Low Energy errata. Questi gettoni possono essere identificati dai contrassegni sul retro della chiave. Se il numero sul retro contiene le combinazioni T1 o T2, tale chiave deve essere sostituita. L'azienda ha deciso di modificare tali chiavi gratuitamente. Altrimenti, il prezzo di emissione ammonterebbe a $ 25 più spese di spedizione.
Le vulnerabilità scoperte consentono a un utente malintenzionato di agire in due modi. Innanzitutto, se qualcuno conosce il login e la password della persona attaccata, può accedere al suo account nel momento in cui fa clic sul pulsante di connessione sul token. Per fare ciò, l'aggressore deve trovarsi nel raggio di comunicazione della chiave, fino a circa 10 metri. In altre parole, la chiavetta si connette via Bluetooth non solo al dispositivo dell’utente, ma anche a quello dell’aggressore, ingannando così l’autenticazione a due fattori di Google.
Un altro modo per sfruttare una vulnerabilità in Bluetooth per l'uso non autorizzato del token Bluetooth Titan Security Key è che quando viene stabilita una connessione tra la chiave e il dispositivo dell'utente, l'aggressore può connettersi al dispositivo della vittima sotto le mentite spoglie di una periferica Bluetooth, per ad esempio, un mouse o una tastiera. Successivamente, gestisci il dispositivo della vittima come desidera. Sia nel primo caso che nel secondo, non c'è niente di buono per un utente con una chiave compromessa. Un estraneo ha la possibilità di carpire dati personali di cui la vittima non verrà nemmeno a conoscenza. Hai un token di sicurezza Bluetooth Titan? Collegalo e vai a e sarà il servizio Google stesso a determinare se questa chiave è affidabile o se deve essere sostituita.
Fonte: 3dnews.ru