Pesquisadores da Unit 42, divisão de inteligência da Palo Alto Networks, descobriram três novas técnicas que podem permitir que malwares contornem as proteções das passkeys armazenadas no Gerenciador de Senhas do Google no Chrome para Windows.
Os ataques, batizados de Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key, não quebram a criptografia da tecnologia, mas exploram falhas na forma como o navegador gerencia a autenticação e as credenciais dos usuários.
Segundo os pesquisadores, todos os cenários dependem de uma condição importante: o computador da vítima já precisa estar infectado por um malware. Ainda assim, duas das técnicas podem permitir que invasores mantenham acesso permanente às contas da vítima, mesmo após perderem acesso ao dispositivo original.
A pesquisa não identificou evidências de exploração ativa nem vulnerabilidades registradas na National Vulnerability Database (NVD) até o início de agosto.
O que muda para o usuário?
- As passkeys são consideradas uma alternativa mais segura às senhas tradicionais por utilizarem criptografia de chave pública, tornando ataques de phishing e reutilização de credenciais muito mais difíceis;
- Segundo a própria documentação do Google, elas também não podem ser adivinhadas ou copiadas;
- A pesquisa da Unit 42, porém, mostra que a segurança das passkeys pode ser comprometida quando o computador já foi infectado;
- Os ataques afetam sistemas Windows equipados com o módulo Trusted Platform Module (TPM), componente responsável por armazenar informações criptográficas de forma segura;
- Em vez de atacar a criptografia das passkeys, as técnicas exploram o modo como o Chrome administra a confiança entre dispositivos, o processo de recuperação de contas e a validação da autenticação do usuário.
Pass-ta-key reutiliza identidade do dispositivo
A primeira técnica, chamada Pass-ta-key, permite que um malware utilize a identidade criptográfica protegida pelo TPM para solicitar autenticações válidas sem exigir PIN, biometria ou qualquer interação do usuário.
Apesar disso, o método não consegue ativar o indicador User Verified (UV), que informa ao serviço online que houve uma autenticação presencial do usuário. Segundo os pesquisadores, a eficácia do ataque depende da implementação de cada plataforma.
Durante os testes, o GitHub rejeitou corretamente as tentativas de autenticação por exigir a validação desse indicador. Já o eBay aceitou os acessos até corrigir o problema após ser informado pela Unit 42.
Silver Pass-ta-key pode manter acesso permanente
A segunda técnica, chamada Silver Pass-ta-key, explora o processo de registro de dispositivos no Gerenciador de Senhas do Google. Segundo a pesquisa, o malware força o Chrome a registrar novamente o computador e aproveita uma etapa intermediária do processo para instalar uma chave de verificação controlada pelo invasor.
Caso o serviço online aceite essa nova chave como válida, o atacante pode continuar acessando a conta da vítima a partir de outro computador, mesmo depois que o dispositivo original fique indisponível. A análise do código público do Chromium confirma a existência desse estado temporário durante o processo de registro, que pode ser explorado antes da conclusão da validação por hardware.
Golden Pass-ta-key extrai a “chave mestre”
A técnica considerada mais grave recebeu o nome de Golden Pass-ta-key. Nesse caso, o malware tenta extrair da memória do Chrome o chamado Security Domain Secret (SDS), um segredo criptográfico de 32 bytes utilizado para descriptografar todas as passkeys sincronizadas na conta Google.
Segundo a Unit 42, a obtenção desse segredo permite recuperar tanto as credenciais já existentes quanto futuras passkeys criadas na mesma conta.
Os pesquisadores explicam que o Google já removeu uma exposição anterior desse segredo nos logs internos relacionados ao protocolo FIDO. No entanto, a informação continua sendo carregada temporariamente na memória do navegador durante o registro e a recuperação de dispositivos, podendo ser capturada por um malware que já esteja em execução.
Outro ponto levantado pela pesquisa é que a documentação pública do Gerenciador de Senhas do Google permite alterar o PIN ou apagar todas as passkeys armazenadas, mas não informa a existência de um mecanismo para revogar ou substituir o Security Domain Secret caso ele seja comprometido.
Google já corrigiu parte dos problemas
Segundo a Unit 42, algumas medidas já foram adotadas após a divulgação responsável das descobertas. O eBay passou a validar corretamente o indicador User Verified, impedindo o primeiro tipo de ataque. Já o Google removeu a exposição do Security Domain Secret nos logs internos do Chrome.
Apesar disso, até o início deste mês, não havia confirmação pública de que todas as técnicas descritas pelos pesquisadores haviam sido totalmente mitigadas, nem informações sobre versões específicas do Chrome eventualmente afetadas.
Pesquisadores reforçam que passkeys continuam mais seguras
Apesar das descobertas, a Unit 42 afirma que as passkeys continuam sendo significativamente mais seguras do que senhas tradicionais contra ataques de phishing e reutilização de credenciais.
Segundo os pesquisadores, o problema identificado não está na criptografia da tecnologia em si, mas na infraestrutura responsável por gerenciar dispositivos e sincronizar credenciais quando um computador já foi comprometido por malware.
Como medidas de proteção, a equipe recomenda que serviços online exijam obrigatoriamente a validação do indicador User Verified, reforcem a verificação de hardware durante o registro de dispositivos, fortaleçam os mecanismos de recuperação de contas e reduzam a exposição de informações sensíveis na memória e em registros internos do navegador.
O post Novo ataque pode contornar passkeys do Google Chrome e roubar contas apareceu primeiro em Olhar Digital.