Teknoloji şirketleri, kullanımı daha kolay ve daha güvenli oldukları için şifreleri hızla parola anahtarlarıyla değiştiriyor. Ancak araştırmacılar yakın zamanda parola anahtarlarının kusursuz olmadığını gösterdi. Google'ın Chrome'daki kimlik doğrulama aracının parola anahtarlarını saklama şekli, kötü amaçlı yazılımların parola anahtarı kimlik doğrulamasını taklit etmesine ve hesapları çeşitli şekillerde ele geçirmesine olanak tanıyor.

Unit 42'deki araştırmacılar yakın zamanda, bir bilgisayardaki kötü amaçlı yazılımın Google Chrome'da depolanan parola verilerini okuyabileceği üç yöntemi ayrıntılı olarak açıkladı. En ciddi yöntem, kurbanın Google parola kasasını tamamen tehlikeye atarak saldırganlara parolalara dayanan her hesaba uzaktan erişim imkanı sağlıyor.

Google, Microsoft, Apple ve diğer birçok şirket, büyük ölçüde kullanıcıların "1234" gibi şifreler belirlemeye devam etmesi nedeniyle parolalardan uzaklaşıyor. Kullanıcının cihazında saklanan ve PIN'ler ve biyometrik veriler aracılığıyla bulut hizmetlerinde şifresi çözülen parola anahtarları, bilgisayar korsanlarının sunuculardan çalabileceği parola olmadığı için parola oluşturuculardan ve yöneticilerden bile daha güvenli kabul ediliyor. PIN veya biyometrik veri kullanmak, parola hatırlamaktan da daha kolay.



Ancak Unit 42, Google'ın parola yöneticisinin, kararlı bir saldırganın bulut kimlik doğrulayıcısını manipüle edebilmesi için Chrome'un belleğinde yeterli miktarda düz metin bilgisi sakladığını keşfetti. Her üç yöntem de, parolaların Chrome'da saklandığı bir bilgisayara virüs bulaştırmayı gerektiriyor.

İlk yöntem olan "Pass-ta-key", saldırganın hedef cihaza canlı ve uzaktan erişime sahip olmasını gerektirir. Bir bilgisayar korsanı, diskten veya Chrome'un belleğinden senkronize edilmiş parola kayıtlarını okuyarak Google'ın şifre çözme yöntemini taklit edebilir, bulut kimlik doğrulayıcısını kandırabilir ve bir hesabı ele geçirebilir.

Daha tehlikeli bir yöntem ise, Chrome'da bir dosyayı silerek bulutun hedef cihazı yeniden doğrulamasını sağlamaktır. Saldırgan daha sonra kurbanın parola korumalı tüm hesaplarına erişim sağlamak için yeni bir anahtar oluşturur. Bu yöntem canlı uzaktan erişim gerektirmez ve saldırganın kendi makinesindeki ele geçirilmiş parolaları kullanmasına olanak tanır.





Bir bilgisayar korsanı, Chrome'un hedef cihazda parola verilerini nerede sakladığı hakkında yeterince bilgi edinirse, ana anahtarı bile ele geçirebilir ve parola kasasının tam kontrolünü ele geçirebilir. Bunun için tarayıcıyı parola oluşturma sürecini tekrarlamaya kandırmak ve ana anahtarın Chrome'un belleğinde düz metin olarak göründüğü kısa bir süre içinde ele geçirmek gerekir.

Saldırıların hiçbiri ayrıcalık yükseltme veya çok faktörlü kimlik doğrulamayı tetikleme gerektirmiyor. Google'ı güvenlik açığı konusunda zaten bilgilendirmiş olan Unit 42, parola tabanlı kimlik doğrulama uygulamalarının geliştiricilerine, alışılmadık parola kullanımını incelemelerini, ilk kayıt sırasında güvenliği sıkılaştırmalarını ve yerel olarak depolanan parola dosyalarına erişimi kısıtlamalarını tavsiye ediyor.

Kaynak :
https://www.techspot.com/news/113375-re ... hrome.html

Her tarayıcının açıkları vardır. Zamanla bu açıkların da yamalanacağını tahmin ediyorum.