Google은 계정 로그인을 위해 누출된 Bluetooth Titan 보안 키 하드웨어 키를 무료로 교체합니다.

지난 여름부터 Google은 회사 서비스 계정에 로그인하기 위한 XNUMX단계 인증 프로세스를 단순화하기 위해 하드웨어 키(즉, 토큰)를 판매하기 시작했습니다. 토큰은 엄청나게 복잡한 비밀번호를 수동으로 입력하는 것을 잊어버릴 수 있는 사용자의 삶을 더 쉽게 만들고 컴퓨터와 스마트폰과 같은 장치에서 식별 데이터를 제거합니다. 이 개발은 Titan Security Key라고 불리며 USB 장치와 Bluetooth 연결 모두로 제공되었습니다. 구글에 따르면 회사 내에서 토큰을 사용하기 시작한 이후 전체 기간 동안 직원 계정이 해킹된 사실은 단 한 건도 없었다. 아쉽게도 Titan 보안 키에서 한 가지 취약점이 여전히 발견되었지만 Google의 공로로 이 취약점은 Bluetooth Low Energy 프로토콜에서 발견되었습니다. USB로 연결된 키는 해킹에 취약한 상태로 유지됩니다.

방법 сообщается Google 웹사이트에서 일부 Bluetooth Titan 보안 키 토큰에 잘못된 Bluetooth Low Energy 구성이 있는 것으로 나타났습니다. 이러한 토큰은 키 뒷면의 표시로 식별할 수 있습니다. 뒷면의 숫자에 T1 또는 T2 조합이 포함되어 있으면 해당 키를 교체해야 합니다. 회사는 그러한 키를 무료로 변경하기로 결정했습니다. 그렇지 않은 경우 발행 가격은 최대 $25 + 배송비입니다.

발견된 취약점을 통해 공격자는 두 가지 방식으로 행동할 수 있습니다. 첫째, 누군가 공격받은 사람의 로그인과 비밀번호를 알고 있다면 토큰의 연결 버튼을 클릭하는 순간 그의 계정에 로그인할 수 있습니다. 이를 위해서는 공격자가 키의 통신 범위(약 최대 10미터) 내에 있어야 합니다. 즉, 동글이 사용자의 기기뿐만 아니라 공격자의 기기에도 블루투스로 연결되어 구글의 이중 인증을 속이는 것이다.

Titan 보안 키 Bluetooth 토큰의 무단 사용을 위해 Bluetooth의 취약점을 악용하는 또 다른 방법은 키와 사용자 장치 사이에 연결이 설정되면 공격자가 Bluetooth 주변 장치로 가장하여 피해자의 장치에 연결할 수 있다는 것입니다. 예를 들어 마우스나 키보드입니다. 그 후 피해자의 기기를 원하는 대로 관리하세요. 첫 번째 경우든 두 번째 경우든 키가 손상된 사용자에게는 아무 소용이 없습니다. 외부인은 피해자가 알지도 못하는 개인 데이터를 추출할 수 있는 기회를 갖습니다. 블루투스 Titan 보안 키 토큰이 있나요? 연결하고 가세요 이 링크, Google 서비스 자체에서 이 키를 신뢰할 수 있는지 또는 교체해야 하는지 여부를 결정합니다.

출처 : 3dnews.ru