Penyelidik keselamatan telah menunjukkan bagaimana sistem pengesahan passkey boleh dikompromi melalui kaedah berasaskan perisian, mencetuskan perdebatan sengit dalam komuniti keselamatan siber mengenai keseimbangan antara keselamatan dan kebolehgunaan dalam sistem pengesahan moden.
Penyelidikan ini memfokuskan kepada kejuruteraan terbalik protokol CTAP2 dan pelaksanaan WebAuthn untuk mencipta pengesah berasaskan perisian yang boleh memintas langkah keselamatan tertentu. Walaupun teknik ini memerlukan kepakaran teknikal yang tinggi dan syarat khusus seperti mod penyahpepijatan jauh Chrome , ia menyerlahkan kelemahan berpotensi dalam cara sistem passkey mengesahkan permintaan pengesahan.
Komponen Teknikal Utama Yang Terlibat:
- CTAP2 ( Client to Authenticator Protocol 2 )
- WebAuthn ( Web Authentication API )
- Rangka kerja pengesahan FIDO2
- Komunikasi USB-HID ( Human Interface Device )
- Kunci Keselamatan Perkakasan dan modul TPM
- Pengesah maya Chrome untuk ujian
Kebimbangan Keselamatan Utama
Demonstrasi ini menunjukkan bagaimana pelaku berniat jahat berpotensi merampas proses pendaftaran passkey dengan menggantikan kunci kriptografi mereka sendiri semasa persediaan akaun. Ini akan membolehkan penyerang kemudiannya mengesahkan sebagai mangsa menggunakan kelayakan yang mereka kawal. Walau bagaimanapun, pakar keselamatan menegaskan bahawa serangan ini memerlukan pendaftaran awal berlaku pada sistem yang terkompromi, yang mengehadkan kesan praktikalnya dengan ketara.
Serangan ini berfungsi dengan mencipta pengesah FIDO2 berasaskan perisian yang boleh menghasilkan respons pengesahan yang sah tanpa memerlukan kunci keselamatan perkakasan khusus atau modul platform dipercayai ( TPMs ). Walaupun tandatangan kriptografi itu sendiri adalah sah, kebimbangan terletak pada keupayaan untuk menghasilkan tandatangan ini menggunakan perisian dan bukannya perkakasan selamat.
Keperluan Serangan:
- Pelayar Chrome dengan remote debugging diaktifkan
- Akses kepada peranti mangsa semasa pendaftaran passkey
- Kepakaran teknikal dalam reverse engineering protokol
- Keupayaan untuk menjalankan perisian tersuai pada sistem sasaran
- Keupayaan MITM ( Man-in-the-Middle ) semasa aliran pendaftaran
Respons Industri dan Perdebatan Pengesahan
Penyelidikan ini telah mencetuskan semula perbincangan mengenai keperluan pengesahan dalam pelaksanaan passkey. Pengesahan adalah mekanisme yang membolehkan laman web mengesahkan bahawa kelayakan pengesahan dijana oleh perkakasan khusus yang dipercayai dan bukannya perisian. Pada masa ini, kebanyakan laman web yang menghadap pengguna tidak memerlukan pengesahan, menjadikannya berpotensi terdedah kepada kaedah pengesahan berasaskan perisian.
Faedahnya jelas ada: kunci yang berasal dari perkakasan tidak boleh dicuri dalam keadaan biasa. Sementara itu, passkey yang disegerakkan hanyalah pasangan log masuk/kata laluan yang mewah, jadi ia boleh dieksfiltrasi oleh penyerang.
Walau bagaimanapun, melaksanakan keperluan pengesahan yang ketat boleh mencipta masalah kebolehgunaan yang ketara. Ia berpotensi menghalang pengguna yang bergantung pada pengurus kata laluan atau perkhidmatan penyegerakan merentas platform, memaksa mereka membeli kunci keselamatan perkakasan khusus. Pendekatan ini juga boleh mencipta senario penguncian vendor di mana hanya peranti daripada pengilang yang diluluskan akan berfungsi dengan laman web tertentu.
Faktor Apple dan Implikasi Ekosistem
Pendekatan Apple terhadap pelaksanaan passkey telah menjadi titik utama dalam perdebatan ini. Tidak seperti syarikat teknologi utama lain, Apple memilih untuk tidak melaksanakan pengesahan untuk passkey pengguna, mengutamakan privasi pengguna dan kemudahalihan merentas peranti berbanding pengesahan perkakasan. Keputusan ini secara berkesan telah memaksa banyak laman web menerima kelayakan yang tidak disahkan, kerana mengecualikan pengguna Apple akan menjadi tidak praktikal dari segi komersial.
Pengkritik berhujah bahawa pendirian Apple telah melemahkan kedudukan keselamatan keseluruhan sistem passkey, manakala penyokong menegaskan bahawa ia telah menghalang penciptaan ekosistem terhad di mana hanya vendor yang diluluskan boleh menyediakan perkhidmatan pengesahan. Perdebatan ini mencerminkan ketegangan yang lebih luas antara keselamatan, privasi, dan persaingan pasaran dalam sistem pengesahan digital.
Kedudukan Industri Mengenai Pengesahan:
- Apple: Menghapuskan pengesahan untuk passkey pengguna, hanya menyokongnya dalam persekitaran MDM
- Google/Microsoft: Secara amnya menyokong keupayaan pengesahan
- Perusahaan: Sering memerlukan pengesahan untuk pematuhan ( FIPS , keselamatan korporat)
- Laman Web Pengguna: Majoriti tidak melaksanakan pengesahan verifikasi
- Pengurus Kata Laluan: Menyokong passkey tetapi akan dikunci keluar oleh pengesahan yang ketat
 |
|---|
| Analisis trafik rangkaian yang mencerminkan kerumitan pelaksanaan passkey dan potensi kelemahan |
Kesan Praktikal dan Penilaian Risiko
Walaupun terdapat demonstrasi teknikal, pakar keselamatan menekankan bahawa risiko praktikal kepada kebanyakan pengguna kekal rendah. Serangan ini memerlukan sama ada akses fizikal kepada peranti mangsa semasa pendaftaran atau keupayaan untuk menjalankan perisian berniat jahat dengan keistimewaan tinggi. Untuk kebanyakan aplikasi pengguna, faedah keselamatan sedia ada passkey—termasuk rintangan terhadap serangan pancingan data dan penggunaan semula kelayakan—masih mengatasi kelemahan teori ini.
Persekitaran perusahaan mungkin mempunyai pengiraan risiko yang berbeza, terutamanya untuk aplikasi keselamatan tinggi di mana kos perkakasan tambahan dan kerumitan boleh dijustifikasikan. Banyak dasar keselamatan korporat sudah memerlukan pengesahan berasaskan perkakasan dengan pengesahan yang betul untuk sistem sensitif.
Penyelidikan ini berfungsi sebagai peringatan berharga bahawa tiada sistem pengesahan yang sempurna, dan pelaksanaan keselamatan mesti mengimbangi pelbagai keutamaan yang bersaing termasuk kebolehgunaan, privasi, dan perlindungan terhadap pelbagai model ancaman. Memandangkan penggunaan passkey terus berkembang, penyelidikan keselamatan berterusan dan perbincangan komuniti akan menjadi penting untuk mengenal pasti dan menangani kelemahan berpotensi sambil mengekalkan faedah pengalaman pengguna yang menjadikan passkey sebagai alternatif menarik kepada kata laluan tradisional.