Pesquisadores de segurança da Palo Alto Networks divulgaram detalhes de três ataques inéditos contra autenticação sem senha, apelidados de “Pass-ta-key”, que permitem a sequestro de contas protegidas por passkeys sincronizadas pelo Google. As técnicas exploram falhas na forma como o Chrome e o autenticador em nuvem da Google gerenciam confiança de dispositivos e fluxos de recuperação.
Três variantes de ataque
O primeiro ataque, batizado de Pass-ta-key, permite que malware presente em um computador Windows com Chrome se passe por um dispositivo confiável e solicite uma resposta válida de autenticação ao autenticador em nuvem da Google. Isso é possível sem privilégios de administrador, interação do usuário ou desbloqueio do dispositivo.
A segunda variante, chamada de Silver Pass-ta-key, vai além: o atacante registra sua própria chave de verificação de usuário no autenticador em nuvem durante um processo de re-registro forçado. Isso permite autenticar a partir de outro computador, sem necessidade de acesso ao dispositivo da vítima.
A terceira e mais grave, o Golden Pass-ta-key, permite extrair a chave mestra usada para criptografar todas as passkeys sincronizadas. Essa chave, chamada de security domain secret, aparece temporariamente na memória do processo do Chrome durante o re-registro, e seu roubo permite descriptografar todas as passkeys atuais e futuras.
Implicações práticas
Os pesquisadores testaram os ataques contra serviços reais. Enquanto o GitHub rejeitou a autenticação por validar corretamente o flag de verificação de usuário, o eBay aceitou a autenticação mesmo sem validar esse sinal. Isso reduz a autenticação a apenas um fator, comprometendo a segurança mesmo quando MFA é exigido.
De acordo com a Unit 42, pesquisadores de segurança da Palo Alto Networks, o Golden Pass-ta-key oferece persistência significativa: mesmo após detecção da comprometimento, não há como rotacionar ou revogar a chave mestra no Google. Todas as passkeys sincronizadas permanecem protegidas pelo mesmo segredo.
Google foi notificado
A Palo Alto Networks informou a Google sobre as vulnerabilidades antes da publicação. Segundo os pesquisadores, a empresa já implementou algumas mitigações. O estudo reforça que passkeys continuam mais seguras que senhas tradicionais, mas não eliminam riscos quando malware já está presente no dispositivo.
Leia também: Microsoft aumenta taxas de licença do Windows 11 | Últimas Notícias