Pesquisadores da Unit 42, parte da Palo Alto Networks, identificaram três novas abordagens que podem permitir que malwares contornem as proteções das passkeys armazenadas no Gerenciador de Senhas do Google no Chrome para Windows.
Os ataques, denominados Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key, não rompem a criptografia da tecnologia, mas exploram deficiências na forma como o navegador gerencia a autenticação e as credenciais do usuário.
Conforme os pesquisadores apontam, todos os cenários dependem de uma condição crucial: o computador da vítima já deve estar infectado por um malware. Entretanto, duas das técnicas podem permitir que invasores mantenham acesso permanente às contas da vítima, mesmo que não tenham mais acesso ao dispositivo original.
A pesquisa não encontrou evidências de exploração ativa ou vulnerabilidades registradas na National Vulnerability Database (NVD) até o começo de agosto.
O que muda para o usuário?
- As passkeys são vistas como uma alternativa mais segura em relação às senhas tradicionais, devido ao uso de criptografia de chave pública, o que dificulta consideravelmente ataques de phishing e a reutilização de credenciais;
- Conforme indicado pela própria documentação do Google, elas não podem ser adivinhadas ou copiadas;
- A pesquisa da Unit 42, no entanto, revela que a segurança das passkeys pode estar em risco quando o computador já foi comprometido;
- Os ataques impactam sistemas Windows que possuem o módulo Trusted Platform Module (TPM), que é responsável por armazenar informações criptográficas de forma segura;
- Em vez de atacar a criptografia das passkeys, as abordagens exploram como o Chrome gerencia a confiança entre dispositivos, o processo de recuperação de contas e a validação da autenticação do usuário.
Pass-ta-key reutiliza identidade do dispositivo
A primeira técnica, denominada Pass-ta-key, possibilita que um malware utilize a identidade criptográfica protegida pelo TPM para solicitar autenticações válidas sem exigir PIN, biometria ou qualquer tipo de interação do usuário.
User Verified (UV), que informa ao serviço online que houve uma autenticação presencial do usuário. De acordo com os pesquisadores, a eficácia do ataque varia conforme a implementação de cada plataforma.
Durante os testes, o GitHub corretamente rejeitou as tentativas de autenticação, exigindo a validação desse indicador. O eBay, por sua vez, aceitou os acessos até corrigir a falha após ser alertado pela Unit 42.
Silver Pass-ta-key pode manter acesso permanente
A segunda técnica, chamada Silver Pass-ta-key, explora o processo de registro de dispositivos no Gerenciador de Senhas do Google. Segundo a pesquisa, o malware força o Chrome a registrar novamente o computador, aproveitando uma etapa intermediária do processo para instalar uma chave de verificação controlada pelo invasor.
Se o serviço online aceitar essa nova chave como válida, o atacante poderá continuar acessando a conta da vítima a partir de outro computador, mesmo que o dispositivo original fique indisponível. A análise do código público do Chromium confirma a existência desse estado temporário durante o registro, que pode ser explorado antes da finalização da validação por hardware.
A técnica considerada mais crítica recebeu o nome de Golden Pass-ta-key. Nesse caso, o malware busca extrair da memória do Chrome o chamado Security Domain Secret (SDS), um segredo criptográfico de 32 bytes usado para descriptografar todas as passkeys sincronizadas na conta do Google.
Conforme a Unit 42, a obtenção desse segredo permite recuperar tanto as credenciais existentes quanto futuras passkeys criadas na mesma conta.
Os pesquisadores informam que o Google já eliminou uma exposição anterior desse segredo nos registros internos relacionados ao protocolo FIDO. Contudo, a informação continua temporariamente na memória do navegador durante o registro e a restauração de dispositivos, podendo ser capturada por um malware já ativo.
Outro aspecto destacado pela pesquisa é que a documentação pública do Gerenciador de Senhas do Google permite a alteração do PIN ou a exclusão de todas as passkeys armazenadas, mas não menciona um mecanismo para revogar ou substituir o Security Domain Secret caso ele seja comprometido.
Google já corrigiu parte dos problemas
De acordo com a Unit 42, algumas medidas já foram implementadas após a divulgação responsável das descobertas. O eBay agora valida corretamente o indicador User Verified, bloqueando o primeiro tipo de ataque. O Google também removeu a exposição do Security Domain Secret nos registros internos do Chrome.
Apesar disso, até o início deste mês, não havia confirmação pública de que todas as técnicas descritas pelos pesquisadores haviam sido completamente mitigadas, nem informações sobre versões específicas do Chrome que poderiam ter sido afetadas.
Pesquisadores reforçam que passkeys continuam mais seguras
Mesmo com as descobertas, a Unit 42 afirma que as passkeys permanecem significativamente mais seguras do que senhas tradicionais contra ataques de phishing e reutilização de credenciais.
De acordo com os pesquisadores, o problema identificado não reside na criptografia da tecnologia em si, mas na infraestrutura que gerencia dispositivos e sincroniza credenciais quando um computador já está comprometido por malware.
Como medidas de proteção, a equipe recomenda que serviços online exijam obrigatoriamente a validação do indicador User Verified, reforcem a verificação de hardware durante o registro de dispositivos, aprimorem os mecanismos de recuperação de contas e reduzam a exposição de informações sensíveis na memória e em registros internos do navegador.
