Krytyczna luka w rozszerzeniu do logowania kluczem sprzętowym, poprawki brak

Badacze opisali krytyczną lukę w rozszerzeniu przeglądarki, które łączy sprzętowe klucze uwierzytelniania wieloskładnikowego z serwisami internetowymi. Poprawki jeszcze nie ma. Luka pozwala na zdalne wykonanie kodu typu drive-by, czyli przy samym wejściu na stronę, i to w ciągu kilku sekund. Według badaczy możliwe scenariusze ataku mogą być jeszcze groźniejsze. Słabym punktem okazał się nie sam klucz sprzętowy, tylko program pośredniczący między kluczem a serwisem.

Kogo dotyczy

Rozszerzenie ma ponad milion użytkowników w sklepie Chrome Web Store i jest dostępne także w innych sklepach z aplikacjami. Służy do logowania w krajowych systemach administracji publicznej, w portalach bankowych i ubezpieczeniowych oraz w międzynarodowym systemie komunikacji międzybankowej. Dotyczy osób i organizacji, które logują się do takich systemów kluczem sprzętowym przez przeglądarkę.