גוגל תחליף מפתחות חומרה "דולפים" של Bluetooth Titan Security Key לכניסה לחשבון שלך בחינם

מאז הקיץ שעבר, גוגל החלה למכור מפתחות חומרה (במילים אחרות, אסימונים) כדי לפשט את תהליך ההרשאה הדו-גורמי לכניסה לחשבון בשירותי החברה. אסימונים מקלים על החיים של משתמשים שיכולים לשכוח מהזנה ידנית של סיסמאות מורכבות להפליא, וגם להסיר נתוני זיהוי ממכשירים: מחשבים וסמארטפונים. הפיתוח נקרא Titan Security Key והוצע הן כהתקן USB והן עם חיבור בלוטות'. לפי גוגל, לאחר תחילת השימוש באסימונים בתוך החברה, במהלך כל התקופה שאחריה לא הייתה ולו עובדה אחת של פריצה לחשבונות עובדים. אבוי, פגיעות אחת עדיין נמצאה במפתח האבטחה של Titan, אבל לזכותה של גוגל ייאמר שהיא התגלתה בפרוטוקול Bluetooth Low Energy. מפתחות המחוברים ל-USB נותרים בלתי פגיעים לפריצה.

כמו сообщается באתר Google נמצאו כמה אסימוני מפתח אבטחה של Bluetooth Titan בעלי תצורה שגויה של Bluetooth Low Energy. ניתן לזהות את האסימונים הללו באמצעות סימונים בגב המפתח. אם המספר בצד האחורי מכיל שילובים T1 או T2, אז יש להחליף מפתח כזה. החברה החליטה להחליף מפתחות כאלה ללא תשלום. אחרת, מחיר ההנפקה יהיה עד $25 בתוספת דמי משלוח.

הפגיעויות שהתגלו מאפשרות לתוקף לפעול בשתי דרכים. ראשית, אם מישהו יודע את פרטי הכניסה והסיסמה של המותקף, הוא יכול להיכנס לחשבון שלו ברגע שהוא לוחץ על כפתור החיבור על האסימון. לשם כך, התוקף חייב להיות בטווח התקשורת של המפתח - זה בערך עד 10 מטרים. במילים אחרות, הדונגל מתחבר באמצעות בלוטות' לא רק למכשיר של המשתמש, אלא גם למכשיר של התוקף, ובכך מרמה את האימות הדו-גורמי של גוגל.

דרך נוספת לנצל פגיעות ב-Bluetooth לשימוש לא מורשה באסימון מפתח האבטחה של Bluetooth Titan היא שכאשר נוצר חיבור בין המפתח למכשיר המשתמש, התוקף יכול להתחבר למכשיר של הקורבן במסווה של ציוד היקפי בלוטוס, עבור לדוגמה, עכבר או מקלדת. ואחרי זה, נהל את המכשיר של הקורבן כרצונו. בין אם במקרה הראשון או בשני, אין שום דבר טוב למשתמש עם מפתח שנפגע. לאדם מבחוץ יש הזדמנות לחלץ נתונים אישיים, שהנפגע אפילו לא יידע על הדלפתם. האם יש לך אסימון מפתח אבטחה של Bluetooth Titan? חבר אותו ועבור אל קישור זה, ושירות Google עצמו יקבע אם מפתח זה אמין או שצריך להחליף אותו.

מקור: 3dnews.ru