最新内容 微 信 搜索 公 众 号 网 络 研 究 观你是不是也听说过“别再用密码了改用‘通行密钥’Passkey吧它绝对安全连黑客也偷不走”但是世界上真的有“绝对安全”的防线吗最近知名的网络安全研究机构 Unit 42 爆出一个重磅消息研究人员发现了三种被称为“Pass-ta-key”的最新攻击手段。黑客居然能够绕过指纹、人脸识别甚至直接把你在 Google 中同步的通行密钥私钥给“提走”这到底是怎么回事通行密钥难道也不安全了吗别慌今天我们就用最接地气的语言为你拆解这个安全界的新话题。一、 先复习一下什么是“通行密钥”Passkey简单来说传统密码就像是你家大门的钥匙。黑客只要通过钓鱼网站骗走你的密码或者凭空猜出密码就能轻松进你家门。而通行密钥Passkey用的是一套更高级的机制——“一对密码锁”公钥Public Key放在网站服务器上相当于挂在外面的锁谁看到都无所谓。私钥Private Key严密保存在你的手机、电脑或安全芯片里相当于你自己拿在手里的钥匙。当你登录网站时网站会出接一道数学题你的设备用“私钥”算好答案发回给网站再通过指纹、人脸刷脸或 PIN 码确认是你在操作就登录成功了。在这个过程中你的私钥永远不会离开设备黑客根本无从下“手”去偷。听起来是不是万无一失但黑客们换了个脑筋“我偷不到你的私钥难道我还不能劫持你的电脑去帮我盖章吗”二、 变态三连击“Pass-ta-key”是怎么一步步偷梁换柱的这次曝光的攻击主要针对的是在 Windows 电脑上使用 Chrome 浏览器和 Google 密码管理器的用户。研究人员将这种攻击称为“Pass-ta-key”名字源自网络安全界的经典攻击手法“Pass-the-hash/Pass-the-ticket”。先提个醒这套攻击生效的前提是——你的电脑已经中了木马病毒恶意软件。黑客不是凭空破解加密算法而是潜伏在你的电脑里拉偏门。黑客一共动用了三套“招式”威力一层比一层猛1. 第一招冒充身份Pass-ta-key原理木马病毒偷偷用你电脑里硬件芯片TPM的身份向 Google 的云端认证服务器发请求“我是这台电脑请给我生成一个登录某网站的证明。”结果Google 以为是你在操作就发回了一张“通行证”。黑客拿着这张证明就能成功登录你的账号破绽这张证明里带有“是否经过生物识别/PIN码验证”的标记。如果网站如 GitHub严格检查了这个标记发现你根本没刷脸就会直接拦截。但也有部分网站如之前的 eBay没有仔细检查这个标记就被黑客钻了空子目前 eBay 已修复该漏洞。2. 第二招篡改门禁卡Silver Pass-ta-key原理如果网站严格检查“刷脸标记”怎么办黑客干脆在木马的帮助下强行让 Chrome 重新注册你的设备。在重新注册时黑客偷梁换柱将他们自己控制的密钥注册到了 Google 云端。结果Google 以后就会把黑客签名发出的请求当作是你“亲自刷脸/输 PIN 码”通过的。后果甚至不需要再留在你的电脑上黑客在他们自己的设备上就能伪造出“已通过刷脸”的最高权限证明顺畅登录你的账号。3. 第三招终极连锅端Golden Pass-ta-key这是最可怕的一招。原理当你在新设备上登录 Google 账号同步通行密钥时Google 会发送一个主密钥安全域秘密SDS用来解密你所有的通行密钥。结果虽然 Google 后来加密并隐藏了这个传输过程但在 Chrome 运行的瞬间这个主密钥依然会短暂地以明文形式停留在电脑的内存里。木马病毒只要盯紧内存就能把这个主密钥硬生生提走致命伤一旦主密钥被偷黑客就能解密你账号里同步的所有通行密钥私钥。更糟的是目前 Google 的架构中还没有提供旋转或撤销这个主密钥的机制意味着你过去和未来同步的所有密钥都可能暴露三、 我们普通用户需要恐慌吗看完上面的攻击流程是不是觉得脊背发凉答案是需要警惕但不必恐慌1. 前提是“电脑先中毒”安全圈有一句名言——“如果黑客已经能在你的设备上运行任意代码那你的设备早就不是你的了。”不管是通行密钥还是传统密码电脑中了木马什么防线都会大打折扣。2. 通行密钥依然远比传统密码安全传统密码极易遭遇大规模撞库、钓鱼网站欺诈、弱密码爆破等。通行密钥直接从根本上封死了“钓鱼网站骗密码”的路径。3. 安全厂商正在紧急修复发现漏洞的研究人员已经提前通知了 Google 以及 eBay 等受影响的厂商相关漏洞和验证漏洞正在被逐步修复与封堵。四、 中国用户防范指南我们该怎么做虽然这起事件主要涉及 Chrome 和 Google 账号同步但随着国内各大平台如腾讯、阿里等以及各大国产手机/系统苹果 iOS、华为 HarmonyOS、小米 HyperOS 等全面拥抱 Passkey 技术这些安全建议对我们同样适用1. 守住第一道防线防范木马病毒既然攻击需要木马作为“内应”那不让木马进门就是最管用的办法不下载来路不明的软件尤其是各类“破解软件”、“绿色版软件”以及来自陌生社群分享的压缩包。警惕钓鱼邮件和陌生链接不要随意点击带有可执行文件格式如.exe、.scr的附件。2. 区分高风险账号的保管方式对于极其重要的账号如主邮箱、金融财产类账号可以考虑使用硬件安全钥匙如 YubiKey 等 FIDO2 硬件或者仅保存在不进行日常高风险上网操作的独立设备本地减少云端同步的暴露面。3. 保持系统与浏览器更新遇到安全漏洞不用怕及时更新系统和 Chrome 浏览器。厂商推出的安全补丁会第一时间堵住内存泄露和验证机制上的漏洞。安全永远是一场“道高一尺魔高一丈”的动态博弈。通行密钥Passkey的出现将互联网安全向前推进了一大步大大降低了普通人被钓鱼攻击的风险而研究人员对“Pass-ta-key”这类新漏洞的探索则是帮我们把这块新盾牌锻造得更加坚固。记住良好的上网习惯 及时更新系统永远是你最靠谱的数字安全屏障研究分析报告链接https://unit42.paloaltonetworks.com/passwordless-authentication-security-risks/