नई दिल्ली: साइबर सुरक्षा शोधकर्ताओं ने Google Password Manager में सिंक होने वाली पासकी (Passkeys) से जुड़े तीन नए हमलों का खुलासा किया है, जिनके जरिए पहले से मैलवेयर से संक्रमित Windows कंप्यूटर पर मौजूद हमलावर उपयोगकर्ताओं के ऑनलाइन खातों तक अनधिकृत पहुंच बनाने का प्रयास कर सकते हैं। Palo Alto Networks की Unit 42 टीम ने इन हमलों को सामूहिक रूप से “Pass-ta-key” नाम दिया है। शोधकर्ताओं का कहना है कि ये हमले पासकी की क्रिप्टोग्राफी को नहीं तोड़ते, बल्कि Google Password Manager, Chrome ब्राउज़र और क्लाउड ऑथेंटिकेटर के बीच डिवाइस ट्रस्ट, रिकवरी और सिंक्रोनाइजेशन प्रक्रिया में मौजूद कमजोरियों का फायदा उठाते हैं।
पासकी को पारंपरिक पासवर्ड की तुलना में अधिक सुरक्षित माना जाता है, क्योंकि इनमें क्रिप्टोग्राफिक कुंजियों का उपयोग होता है और इन्हें फिशिंग, पासवर्ड री-यूज या अनुमान लगाकर आसानी से चुराया नहीं जा सकता। उपयोगकर्ता आमतौर पर PIN, फिंगरप्रिंट या फेस ऑथेंटिकेशन के माध्यम से लॉग-इन करते हैं। हालांकि शोधकर्ताओं ने स्पष्ट किया कि यदि किसी डिवाइस में पहले से मैलवेयर मौजूद है, तो इन सुरक्षा उपायों को विशेष परिस्थितियों में दरकिनार किया जा सकता है।
पहला हमला, Pass-ta-key, बिना एडमिनिस्ट्रेटर अधिकारों वाले मैलवेयर को पीड़ित के विश्वसनीय डिवाइस के रूप में प्रस्तुत होने की अनुमति देता है। यह Chrome के Trusted Platform Module (TPM) आधारित डिवाइस पहचान तंत्र का दुरुपयोग कर Google के क्लाउड ऑथेंटिकेटर को ऐसा अनुरोध भेजता है, मानो वह वास्तविक उपयोगकर्ता के कंप्यूटर से आया हो। इसके लिए उपयोगकर्ता की कोई सहभागिता, बायोमेट्रिक सत्यापन या डिवाइस अनलॉक करने की आवश्यकता नहीं होती। हालांकि यह हमला उन वेबसाइटों पर विफल हो जाता है जो “User Verified” संकेतक की सही जांच करती हैं। शोधकर्ताओं ने बताया कि GitHub पर यह तकनीक सफल नहीं हुई, जबकि eBay पर परीक्षण के दौरान यह कमजोरी सामने आई, जिसे सूचना मिलने के बाद eBay ने ठीक कर दिया।
दूसरी तकनीक, Silver Pass-ta-key, इससे भी अधिक गंभीर मानी जा रही है। इसमें हमलावर संक्रमित डिवाइस पर Chrome को दोबारा पंजीकरण (Re-registration) के लिए मजबूर कर अपने नियंत्रण वाली नई User Verification Key पंजीकृत कर सकता है। यदि ऐसा हो जाता है, तो Google का क्लाउड ऑथेंटिकेटर उस कुंजी को वैध मान लेता है और भविष्य में हमलावर किसी अन्य सिस्टम से भी पीड़ित के खाते में लॉग-इन करने का प्रयास कर सकता है, भले ही वेबसाइट उपयोगकर्ता सत्यापन को अनिवार्य रूप से लागू करती हो।
तीसरी और सबसे गंभीर तकनीक Golden Pass-ta-key है। शोधकर्ताओं के अनुसार, इसके माध्यम से मैलवेयर उस मास्टर कुंजी, जिसे Security Domain Secret (SDS) कहा जाता है, तक पहुंच बनाने का प्रयास कर सकता है। यही कुंजी Google Password Manager में सिंक होने वाली सभी पासकी को एन्क्रिप्ट करने के लिए उपयोग होती है। Unit 42 ने बताया कि पहले यह कुंजी Chrome के आंतरिक FIDO लॉग में साधारण टेक्स्ट के रूप में दिखाई देती थी। सूचना मिलने के बाद Google ने इसे लॉग से हटा दिया, लेकिन शोधकर्ताओं का कहना है कि यह कुंजी अभी भी डिवाइस पंजीकरण या रिकवरी के दौरान Chrome की मेमोरी में अस्थायी रूप से उपलब्ध रहती है, जहां से उन्नत मैलवेयर इसे निकाल सकता है।
यदि हमलावर इस मास्टर कुंजी तक पहुंच प्राप्त कर लेता है, तो वह सिंक की गई पासकी को डिक्रिप्ट कर उनकी निजी कुंजियां निकाल सकता है और उन्हें किसी दूसरे सिस्टम पर उपयोग कर पीड़ित के खातों तक पहुंच बनाने का प्रयास कर सकता है। शोधकर्ताओं ने यह भी चेतावनी दी कि वर्तमान व्यवस्था में इस मास्टर कुंजी को बदलने या निरस्त करने की कोई प्रभावी प्रक्रिया उपलब्ध नहीं है, जिससे भविष्य में सिंक होने वाली नई पासकी भी उसी कुंजी से सुरक्षित रहती हैं।
प्रख्यात साइबर अपराध विशेषज्ञ एवं पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह के अनुसार, यह शोध इस बात की याद दिलाता है कि पासकी पारंपरिक पासवर्ड की तुलना में अधिक सुरक्षित अवश्य हैं, लेकिन यदि उपयोगकर्ता का डिवाइस पहले से मैलवेयर से संक्रमित हो जाए तो खतरा पूरी तरह समाप्त नहीं होता। उन्होंने कहा कि उपयोगकर्ताओं को अपने सिस्टम को अद्यतन रखना, केवल विश्वसनीय स्रोतों से ही सॉफ्टवेयर डाउनलोड करना, मजबूत एंडपॉइंट सुरक्षा समाधान अपनाना और संदिग्ध गतिविधियों की नियमित निगरानी करना आवश्यक है। वहीं वेबसाइट संचालकों को User Verification की अनिवार्य जांच, डिवाइस री-रजिस्ट्रेशन प्रक्रिया को मजबूत बनाने तथा क्लाउड ऑथेंटिकेशन तंत्र में अतिरिक्त सुरक्षा उपाय लागू करने चाहिए, ताकि ऐसे उन्नत हमलों के जोखिम को न्यूनतम किया जा सके।
