Google警告蓝牙Titan安全密钥可能被附近的黑客劫持

谷歌警告说，它为双因素身份验证销售的Titan安全密钥的蓝牙低功耗版本可能被附近的攻击者劫持，该公司建议用户获得一个可以修复漏洞的免费替换设备。

密码的蓝牙配对协议配置错误，使得30英尺内的攻击者能够与密钥或与其配对的设备进行通信，Google Cloud产品经理Christiaan Brand在周三发布的一篇文章中写道。

支持蓝牙的设备是一种低成本的安全密钥，正如Ars在2016年报告的那样，它代表了防止支持保护的站点进行帐户接管的最有效方法。除了用户输入的帐户密码之外，密钥还提供次要的“加密断言”，攻击者几乎不可能猜测或网络钓鱼。使用USB或近场通信的安全密钥不受影响。

Brand描述的攻击涉及在30英尺内的攻击者密切协调地执行一系列事件时劫持配对过程：

当您尝试在设备上登录帐户时，通常会要求您按BLE安全密钥上的按钮将其激活。在此时刻身临近距离的攻击者可能会在您自己的设备连接之前将自己的设备连接到受影响的安全密钥。在这种情况下，如果攻击者以某种方式已经获得您的用户名和密码并且可以准确地计算这些事件，则攻击者可以使用他们自己的设备登录您的帐户。

在使用安全密钥之前，必须将其与您的设备配对。配对后，与您近距离接触的攻击者可以使用他们的设备伪装成受影响的安全密钥，并在您被要求按下密钥上的按钮时连接到您的设备。之后，他们可能会尝试将其设备更改为蓝牙键盘或鼠标，并可能会对您的设备执行操作。

要使帐户接管成功，攻击者还必须知道目标的用户名和密码。

要判断Titan密钥是否容易受到攻击，请检查设备背面。如果它有“T1”或“T2”，它很容易受到攻击并且有资格免费更换。Brand表示，安全密钥仍然是保护帐户最有意义的方法之一，并建议人们在等待新密钥时继续使用密钥。Titan安全密钥在Google Store中以50美元的价格出售。

当人们等待替换时，品牌建议用户在私人场所使用密钥，该密钥不在潜在攻击者的30英尺范围内。登录后，用户应立即取消安全密钥的配对。计划在下个月发布的Android更新将自动取消配对蓝牙安全密钥，因此用户无需手动执行此操作。

Brand表示苹果周一开始推出的iOS 12.3将无法使用易受攻击的安全密钥。这有一个令人遗憾的结果是，如果他们退出，就会锁定他们的Google帐户。品牌推荐的人不会退出他们的帐户。一个好的安全措施是使用备份身份验证器应用程序，至少在新密钥到达之前，或者跳过Brand的建议并简单地使用身份验证器应用程序作为双因素身份验证的主要方法。

这一集是不幸的，因为正如Broad指出的那样，物理安全密钥仍然是当前可用于防止网络钓鱼和其他类型帐户接管的最强保护。周三的披露引发了社交媒体对蓝牙批评者的安全敏感功能的抨击。

比如，什么样的白痴协议允许用户协商可以小到1个字节的“最大密钥大小”。(幸运的是，在最近的版本中应该更高。)- Matthew Green(@matthew_d_green)

密钥被劫持的威胁以及当前与iOS最新版本的不兼容肯定会进一步增加用户对使用基于BLE的密钥的抵制。这一威胁也有助于解释为何苹果和其他主要制造商Yubico长期拒绝支持支持BLE的密钥。

标签： Google 蓝牙Titan安全密钥