Dalla scorsa estate, Google ha iniziato a vendere chiavi hardware (o token) per semplificare il processo di autenticazione a due fattori per accedere ai propri servizi. I token semplificano la vita agli utenti, che altrimenti potrebbero dimenticare di inserire manualmente password incredibilmente complesse, e rimuovono i dati di identificazione da dispositivi come computer e smartphone. Questa tecnologia è stata chiamata Titan Security Key ed è stata offerta sia come dispositivo USB che con connessione Bluetooth. Secondo Google, dopo l'introduzione dei token all'interno dell'azienda, non sono mai stati registrati casi di hacking degli account dei dipendenti. Purtroppo, è stata scoperta una vulnerabilità nella Titan Security Key, ma a onore di Google, è stata identificata nel protocollo Bluetooth Low Energy. Le chiavi con connessione USB rimangono pur sempre invulnerabili agli attacchi.
Come Sul sito Google, alcuni token del Bluetooth Titan Security Key presentavano una configurazione errata del Bluetooth Low Energy. Questi token possono essere identificati tramite la marcatura sul retro della chiave. Se nel numero sul retro sono presenti le combinazioni T1 o T2, quella chiave deve essere sostituita. L'azienda ha deciso di sostituire gratuitamente queste chiavi. In caso contrario, il costo sarebbe stato fino a $25 più le spese di spedizione.
Le vulnerabilità riscontrate consentono a un malintenzionato di agire in due modi. Innanzitutto, se qualcuno conosce il nome utente e la password della vittima, può accedere al suo account nel momento in cui si preme il pulsante di connessione sul token. Per fare ciò, il malintenzionato deve trovarsi nel raggio d'azione della connessione della chiave, che è di circa 10 metri. In altre parole, la chiave Bluetooth si connette non solo al dispositivo dell'utente, ma anche a quello del malintenzionato, ingannando così l'autenticazione a due fattori di Google.
Un altro modo di sfruttare la vulnerabilità del Bluetooth per un uso non autorizzato del token Bluetooth Titan Security Key è che, nel momento in cui si stabilisce la connessione tra il key e il dispositivo dell'utente, un attaccante può connettersi al dispositivo della vittima fingendosi una periferica Bluetooth, come un mouse o una tastiera. E solo dopo può utilizzare liberamente il dispositivo della vittima. In entrambi i casi, per l'utente con il token compromesso non c'è niente di buono. A un estraneo viene data la possibilità di estrarre dati personali, riguardo alla cui fuoriuscita la vittima potrebbe non nemmeno accorgersi. Hai un token Bluetooth Titan Security Key? Collegalo e vai a , e il servizio Google determinerà se questo key è affidabile o se deve essere sostituito.
Fonte: 3dnews.ru
