Scoperte vulnerabilità nei passkey sincronizzati con Google Password Manager
Ricercatori rivelano tre tecniche con cui malware può compromettere la sicurezza dei passkey gestiti da Google.
I passkey, promossi come l'evoluzione sicura delle password, sono stati al centro di una recente analisi di Unit 42, che ha identificato tre tecniche – denominate Pass-ta-key – attraverso cui malware può aggirare la protezione dei passkey sincronizzati tramite Google Password Manager su Chrome, in ambiente Windows con TPM.
Gli attacchi non compromettono la crittografia dei passkey, ma sfruttano punti deboli nei meccanismi di device trust, account recovery e verifica dell'utente. Nel primo scenario, il malware può richiedere un'autenticazione valida dal cloud Google senza necessità di PIN, impronta biometrica o altre azioni da parte dell'utente, sfruttando l'identità TPM del dispositivo. Alcuni servizi – come GitHub – hanno respinto l'attacco, altri invece sono risultati vulnerabili.
Una seconda variante, Silver Pass-ta-key, consente agli attaccanti di registrare una chiave di verifica sotto il loro controllo, simulando l'autenticazione dell'utente e ottenendo accesso agli account anche da altri dispositivi.
L'attacco più sofisticato, Golden Pass-ta-key, mira al master secret usato per criptare i passkey: questo può essere estratto dalla memoria di Chrome durante la registrazione o il recupero del dispositivo, mettendo a rischio tutte le credenziali sincronizzate.
Nonostante i passkey restino più sicuri contro phishing e leak rispetto alle password tradizionali, la ricerca evidenzia che, se un malware compromette il dispositivo, anche l'infrastruttura che protegge i passkey può essere attaccata.
