Sedan förra sommaren började Google sälja hårdvarunycklar (med andra ord tokens) för att förenkla tvåfaktorsauktoriseringsprocessen för att logga in på ett konto med företagets tjänster. Tokens gör livet enklare för användare som kan glömma att manuellt ange otroligt komplexa lösenord, och även ta bort identifieringsdata från enheter: datorer och smartphones. Utvecklingen kallades Titan Security Key och erbjöds både som USB-enhet och med Bluetooth-anslutning. Enligt Google, efter att man började använda tokens inom företaget, under hela perioden efter det fanns det inte ett enda faktum av hackning av anställdas konton. Tyvärr hittades fortfarande en sårbarhet i Titan-säkerhetsnyckeln, men till Googles förtjänst upptäcktes den i Bluetooth Low Energy-protokollet. USB-anslutna nycklar förblir osårbara för hackning.
hur På Googles webbplats upptäcktes vissa Bluetooth Titan Security Key-tokens ha en felaktig Bluetooth Low Energy-konfiguration. Dessa polletter kan identifieras genom markeringar på baksidan av nyckeln. Om siffran på baksidan innehåller kombinationer T1 eller T2, måste en sådan nyckel bytas ut. Företaget beslutade att byta sådana nycklar gratis. Annars skulle emissionspriset vara upp till 25 USD plus porto.
De upptäckta sårbarheterna tillåter en angripare att agera på två sätt. För det första, om någon känner till inloggningen och lösenordet för den attackerade personen, kan de logga in på hans konto i samma ögonblick som han klickar på anslutningsknappen på token. För att göra detta måste angriparen vara inom nyckelns kommunikationsräckvidd - detta är ungefär upp till 10 meter. Med andra ord ansluter dongeln via Bluetooth inte bara till användarens enhet, utan också till angriparens enhet, vilket lurar Googles tvåfaktorsautentisering.
Ett annat sätt att utnyttja en sårbarhet i Bluetooth för obehörig användning av Bluetooth Titan Security Key-token är att när en anslutning upprättas mellan nyckeln och användarens enhet kan angriparen ansluta till offrets enhet under sken av en Bluetooth-kringutrustning, t. till exempel en mus eller ett tangentbord. Och efter det, hantera offrets enhet som han vill. Vare sig i det första fallet eller i det andra finns det inget bra för en användare med en komprometterad nyckel. En utomstående har möjlighet att extrahera personuppgifter, vars läckage offret inte ens kommer att känna till. Har du en Bluetooth Titan Security Key-token? Anslut den och gå till , och Googles tjänst avgör själv om den här nyckeln är tillförlitlig eller om den behöver bytas ut.
Källa: 3dnews.ru