Pesquisadores da Unit 42, divisão de inteligência da Palo Alto Networks, identificaram três técnicas que podem permitir que malwares contornem as proteções das passkeys armazenadas no Google Password Manager. Os métodos, no entanto, não quebram a criptografia das passkeys: eles dependem de um computador que já tenha sido previamente infectado por malware para explorar mecanismos internos de gerenciamento do Google Chrome.
As técnicas foram batizadas de Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Todas afetam sistemas Windows equipados com Trusted Platform Module (TPM) e exigem que um código malicioso já esteja em execução na máquina da vítima. Até o momento, não há registros de exploração ativa nem CVEs associados à pesquisa.
Segundo os pesquisadores, os ataques exploram a forma como o Chrome gerencia o registro de dispositivos, armazena chaves criptográficas e realiza o processo de autenticação. Dependendo da técnica utilizada, o invasor pode gerar uma autenticação válida, registrar uma chave de verificação sob seu controle ou obter o chamado Security Domain Secret (SDS), um segredo criptográfico utilizado para descriptografar as chaves privadas das passkeys sincronizadas na conta Google.
As técnicas Silver Pass-ta-key e Golden Pass-ta-key são consideradas as mais perigosas, pois podem permitir que o atacante continue acessando as contas da vítima a partir de outro computador, mesmo depois de perder acesso ao dispositivo originalmente comprometido. Já a técnica Pass-ta-key reutiliza a chave protegida pelo TPM para gerar autenticações válidas, embora sem ativar o indicador User Verified (UV), exigido por alguns serviços para confirmar que houve autenticação biométrica ou por PIN.
Durante os testes, os pesquisadores observaram diferenças entre plataformas. O GitHub rejeitou tentativas de autenticação sem a validação do indicador UV, enquanto o eBay inicialmente aceitava esse tipo de autenticação antes de corrigir o comportamento após receber a divulgação responsável da vulnerabilidade.
A Unit 42 informou que o Google já eliminou uma exposição anterior do SDS em registros de depuração do Chrome relacionados ao protocolo FIDO, e o eBay corrigiu a validação do indicador UV. Entretanto, ainda não há confirmação pública de que todas as técnicas apresentadas tenham sido completamente mitigadas ou de quais versões do Chrome possam ter recebido correções específicas.
Como medidas de proteção, os pesquisadores recomendam que serviços online exijam obrigatoriamente a verificação User Verified, validem corretamente esse indicador durante a autenticação, reforcem a verificação de hardware no registro de novos dispositivos e reduzam a exposição de informações sensíveis em memória e registros do navegador. Também destacam que os ataques só são possíveis após a infecção inicial do computador, reforçando a importância de manter sistemas atualizados, utilizar soluções antimalware e evitar a instalação de softwares de origem desconhecida.
