Ключ безопасности Titan разработан, чтобы помочь пользователям защитить себя от фишинговых атак и захвата учетной записи, используя стандарты FIDO для двухфакторной аутентификации (2FA). Продукт использует криптографию для проверки ключа и адреса безопасности пользователя при входе в свою учетную запись.

Эта проблема затрагивает версию Bluetooth T1 и T2 ключа безопасности Titan с низким энергопотреблением (BLE); Ключи безопасности USB и NFC не затрагиваются. Google создал страницу, на которой пользователям сообщают, есть ли у них какие-либо затронутые ключи безопасности, связанные с их учетной записью Google. Titan Security Key Bluetooth vulnerability

Microsoft сообщила Google о проблеме безопасности, описанной как неверная конфигурация в протоколах сопряжения Bluetooth на Titan. Слабость позволяет атакующему, находящемуся в зоне действия Bluetooth, обмениваться данными с ключом безопасности и устройством, с которым он связан.

Тем не менее, Google отмечает, что осуществить атаку нелегко, поскольку злоумышленникам придется выполнять свои действия именно тогда, когда жертва выполняет определенные действия.

Хакер может подключить свое собственное устройство к ключу безопасности жертвы до того, как законное устройство подключится, но он должен начать атаку именно тогда, когда цель нажмет кнопку на своем ключе безопасности, что пользователи должны сделать при входе в свою учетную запись.

Злоумышленник также может использовать свое собственное устройство для маскировки под ключ безопасности жертвы и подключения к устройству жертвы при нажатии кнопки. После подключения хакер может изменить функциональность своего устройства на мышь или клавиатуру Bluetooth и выполнять действия на устройстве жертвы.

«Эта проблема безопасности не влияет на основную цель ключей безопасности, которая заключается в защите от фишинга удаленным злоумышленником. Ключи безопасности остаются самой надежной защитой от фишинга; по-прежнему безопаснее использовать ключ, имеющий эту проблему, вместо отключения двухэтапной проверки (2SV) на основе ключа безопасности в вашей учетной записи Google или перехода на менее стойкие к фишингу методы (например, коды SMS или запросы, отправленные на ваше устройство).», - говорит Кристиан Бренд, менеджер по продуктам в Google Cloud.

Ключи безопасности под маркой Feitian также подвержены этой уязвимости, и они также имеют право на замену, но клиентам, возможно, придется заплатить очень небольшую плату. За пределами США ключи доставляются через Amazon, а стоимость устройства может быть снижена только до 1 доллара, сообщил Бренд в Twitter .

Стоит отметить, что в случае ключей Feitian проблема затрагивает версии 1, 2 и 3.

Пользователи, которые связали свой ключ безопасности с устройством iOS, могут минимизировать риск атак, отсоединив ключ сразу после его использования. Однако после обновления iOS до версии 12.3 ключ безопасности перестанет работать. В случае Android пользователи также могут отключить свое устройство сразу после использования, и начиная с предстоящего в июне 2019 года уровня исправления безопасности устройства Bluetooth, на которые влияют, будут автоматически отключены.

В обоих случаях пользователям рекомендуется использовать свой ключ безопасности только в местах, где потенциальный злоумышленник не может находиться в непосредственной близости.