Sinds afgelopen zomer is Google begonnen met het verkopen van hardwaresleutels (met andere woorden: tokens) om het tweefactorautorisatieproces voor het inloggen op een account bij de services van het bedrijf te vereenvoudigen. Tokens maken het leven gemakkelijker voor gebruikers die het handmatig invoeren van ongelooflijk complexe wachtwoorden kunnen vergeten, en kunnen ook identificatiegegevens van apparaten verwijderen: computers en smartphones. De ontwikkeling heette Titan Security Key en werd zowel als USB-apparaat als met Bluetooth-verbinding aangeboden. Volgens Google heeft er na de start van het gebruik van tokens binnen het bedrijf gedurende de gehele periode daarna geen enkel feit plaatsgevonden van het hacken van werknemersaccounts. Helaas werd er nog steeds één kwetsbaarheid gevonden in de Titan Security Key, maar het is de eer van Google dat deze werd ontdekt in het Bluetooth Low Energy-protocol. Via USB aangesloten sleutels blijven onkwetsbaar voor hacking.
Als Op de website van Google bleken sommige Bluetooth Titan Security Key-tokens een onjuiste Bluetooth Low Energy-configuratie te hebben. Deze tokens zijn te herkennen aan de markeringen op de achterkant van de sleutel. Als het nummer op de achterkant de combinatie T1 of T2 bevat, moet een dergelijke sleutel worden vervangen. Het bedrijf besloot dergelijke sleutels gratis te vervangen. Anders zou de uitgifteprijs maximaal $ 25 plus verzendkosten bedragen.
Door de ontdekte kwetsbaarheden kan een aanvaller op twee manieren handelen. Ten eerste, als iemand de login en het wachtwoord van de aangevallen persoon kent, kan hij inloggen op zijn account zodra hij op de connect-knop op het token klikt. Hiervoor moet de aanvaller zich binnen het communicatiebereik van de sleutel bevinden; dit is ongeveer maximaal 10 meter. Met andere woorden: de dongle maakt via Bluetooth niet alleen verbinding met het apparaat van de gebruiker, maar ook met het apparaat van de aanvaller, waardoor de tweefactorauthenticatie van Google wordt misleid.
Een andere manier om misbruik te maken van een kwetsbaarheid in Bluetooth voor ongeoorloofd gebruik van de Bluetooth Titan Security Key-token is dat wanneer er een verbinding tot stand wordt gebracht tussen de sleutel en het apparaat van de gebruiker, de aanvaller verbinding kan maken met het apparaat van het slachtoffer onder het mom van een Bluetooth-randapparaat, bijvoorbeeld bijvoorbeeld een muis of toetsenbord. En beheer daarna het apparaat van het slachtoffer zoals hij wil. Zowel in het eerste als in het tweede geval is er niets goeds voor een gebruiker met een gecompromitteerde sleutel. Een buitenstaander heeft de mogelijkheid om persoonlijke gegevens te achterhalen waarvan het slachtoffer niet eens op de hoogte is. Heeft u een Bluetooth Titan Security Key-token? Sluit hem aan en ga naar , en de Google-service bepaalt zelf of deze sleutel betrouwbaar is of moet worden vervangen.
Bron: 3dnews.ru