Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Passkeys są przedstawiane jako nowoczesna alternatywa dla tradycyjnych haseł, ponieważ ograniczają ryzyko phishingu, reuse poświadczeń i przejmowania kont przez wyłudzenie danych logowania. Najnowsze ustalenia badaczy pokazują jednak, że skuteczność tego modelu bezpieczeństwa wyraźnie spada w sytuacji, gdy atakujący uzyska wcześniej dostęp do urządzenia końcowego ofiary.
Opisane techniki nie łamią bezpośrednio kryptografii WebAuthn ani samej koncepcji passkeys. Wykorzystują natomiast zaufanie przypisane do zarejestrowanego urządzenia oraz możliwość przejęcia lokalnych artefaktów przeglądarki przez złośliwe oprogramowanie działające w systemie użytkownika.
W skrócie
Badacze opisali nowe scenariusze ataku na konta chronione passkeys synchronizowanymi w ekosystemie Google i obsługiwanymi przez przeglądarkę Chrome. Atak nie polega na klasycznym obejściu uwierzytelniania bezhasłowego, ale na nadużyciu dostępu do endpointu, który został już skompromitowany przez malware.
- Złośliwe oprogramowanie może ustalić, które konta są chronione passkey.
- Może pozyskać lokalne materiały powiązane z procesem uwierzytelniania.
- W niektórych wariantach możliwe jest uzyskanie trwałego dostępu do konta także z innego urządzenia.
- Najgroźniejszy scenariusz obejmuje potencjalną kompromitację większej liczby zsynchronizowanych passkeys.
Kontekst / historia
Rosnąca popularność passkeys wynika z chęci odejścia od haseł, które od lat pozostają jednym z najsłabszych elementów bezpieczeństwa cyfrowej tożsamości. Model bezhasłowy oparty na kryptografii asymetrycznej miał znacząco utrudnić działania przestępców wykorzystujących phishing, credential stuffing czy masowe wycieki baz danych.
To założenie nadal pozostaje prawdziwe w odniesieniu do wielu popularnych technik ataku zdalnego. Problem zaczyna się jednak wtedy, gdy przeciwnik nie próbuje wyłudzić poświadczeń, lecz działa już lokalnie na urządzeniu ofiary. W takim modelu bezpieczeństwo nie zależy wyłącznie od standardu uwierzytelniania, ale również od ochrony systemu operacyjnego, przeglądarki, pamięci procesów oraz mechanizmów synchronizacji w chmurze.
Analiza techniczna
Technika określana jako „Pass-ta-key” koncentruje się na passkeys synchronizowanych przez Chrome. W podstawowym wariancie malware analizuje lokalne dane przeglądarki, aby ustalić, jakie konta są chronione passkey, z jakimi nazwami użytkowników są powiązane oraz jakie zaszyfrowane materiały uwierzytelniające są dostępne na stacji roboczej.
Następnie złośliwe oprogramowanie odzyskuje klucz tożsamości urządzenia przechowywany lokalnie lub dostępny w pamięci procesu. Kolejny etap polega na użyciu interfejsów kryptograficznych systemu Windows do wygenerowania podpisu dla wyzwania pochodzącego z usługi chmurowego uwierzytelniania. Z perspektywy infrastruktury dostawcy operacja wygląda jak legalne żądanie pochodzące od zaufanego urządzenia.
Badacze wskazali, że taki scenariusz może zostać zrealizowany bez eskalacji uprawnień, bez aktywnej interakcji użytkownika i bez konieczności wywoływania lokalnego monitu biometrycznego. W rezultacie możliwe staje się dokończenie procesu logowania do docelowej usługi lub uzyskanie dostępu, który trudno odróżnić od prawidłowej autoryzacji.
Bardziej zaawansowany wariant, nazwany „Silver Pass-ta-key”, wykorzystuje proces ponownej rejestracji urządzenia. W odpowiednim momencie atakujący może doprowadzić do zarejestrowania własnego klucza weryfikacji użytkownika w usłudze chmurowej. Taki zabieg pozwala przenieść incydent z poziomu lokalnej kompromitacji endpointu do trwałego przejęcia możliwości uwierzytelniania z innej maszyny.
Najpoważniejszy scenariusz, określany jako „Golden Pass-ta-key”, zakłada wydobycie głównego sekretu, który pojawia się tymczasowo w pamięci procesu Chrome podczas ponownej rejestracji. Posiadanie takiego materiału może umożliwić odszyfrowanie prywatnych kluczy zsynchronizowanych passkeys dla danego konta, co znacząco podnosi skalę potencjalnego naruszenia.
Konsekwencje / ryzyko
Najważniejszy wniosek jest prosty: passkeys nie eliminują ryzyka przejęcia konta, jeśli urządzenie końcowe zostało wcześniej skompromitowane. Ochrona przed phishingiem nie oznacza automatycznie ochrony przed malware działającym lokalnie w kontekście użytkownika.
Dla użytkowników indywidualnych zagrożenie obejmuje pocztę elektroniczną, usługi chmurowe, komunikatory, konta społecznościowe i panele administracyjne. W środowiskach firmowych konsekwencje mogą być szersze i obejmować kompromitację tożsamości pracownika, przejęcie dostępu do aplikacji SaaS, utrudnione wykrywanie incydentu oraz wzrost ryzyka ruchu lateralnego.
- Przejęcie kont o wysokich uprawnieniach.
- Trwały dostęp do usług federacyjnych lub chmurowych.
- Podszywanie się pod zaufane urządzenie w procesie logowania.
- Utrudnioną analizę śledczą, ponieważ operacje wyglądają jak prawidłowe.
Rekomendacje
Organizacje nie powinny traktować passkeys jako samodzielnego rozwiązania problemu przejęć kont. To ważny element nowoczesnego uwierzytelniania, ale jego skuteczność zależy od bezpieczeństwa hosta, przeglądarki i całego środowiska tożsamości.
W praktyce warto wzmacniać ochronę endpointów przy użyciu EDR lub XDR, monitorować nietypowe zachowania procesów przeglądarki, wykrywać infostealery oraz ograniczać możliwość używania tych samych urządzeń do zadań administracyjnych i codziennej pracy biurowej. Dla kont uprzywilejowanych warto rozważyć dedykowane, zarządzane stacje robocze oraz polityki dostępu warunkowego zależne od stanu urządzenia.
- Regularnie aktualizować system operacyjny i przeglądarkę.
- Monitorować procesy ponownej rejestracji urządzeń i zmiany w materiałach uwierzytelniających.
- Wdrażać segmentację dostępu dla kont krytycznych.
- Wykrywać anomalie związane z synchronizacją poświadczeń.
- Ograniczać instalację niezweryfikowanego oprogramowania na stacjach użytkowników.
Z perspektywy użytkownika końcowego passkeys nadal pozostają rozwiązaniem wartym wdrożenia. Trzeba jednak pamiętać, że w modelu passwordless to kompromitacja urządzenia staje się jednym z głównych wektorów ryzyka, dlatego higiena bezpieczeństwa stacji roboczej ma dziś jeszcze większe znaczenie niż wcześniej.
Podsumowanie
Nowe techniki ataku na passkeys pokazują, że uwierzytelnianie bezhasłowe nie usuwa całkowicie problemu przejęć kont, lecz przesuwa ciężar obrony w stronę bezpieczeństwa urządzenia i warstwy synchronizacji. Opisane warianty Pass-ta-key wskazują, że malware działające lokalnie może wykorzystać zaufanie do zarejestrowanego endpointu do wykonywania legalnie wyglądających operacji autoryzacyjnych.
Dla organizacji oznacza to konieczność równoczesnego wzmacniania bezpieczeństwa tożsamości, endpointów, przeglądarek i pamięci procesów. Passkeys pozostają dużym krokiem naprzód względem haseł, ale nie powinny być postrzegane jako pełna ochrona po kompromitacji hosta.
Źródła
- SecurityWeek — New Attack Methods Enable Malware to Hijack Passkey-Protected Accounts — https://www.securityweek.com/new-attack-methods-enable-malware-to-hijack-passkey-protected-accounts/
- Unit 42 — Pass-ta-Key: Hijacking Google’s Passkeys with Post-Exploitation Malware — https://unit42.paloaltonetworks.com/pass-ta-key-google-passkeys/
- Google Developers — Passkeys — https://developers.google.com/identity/passkeys
- W3C — Web Authentication: An API for accessing Public Key Credentials — https://www.w3.org/TR/webauthn-3/
- FIDO Alliance — Passkeys — https://fidoalliance.org/passkeys/