Forskare avslöjar ny attackvektor mot passkeys
Arie Olshtein, forskare vid säkerhetsföretaget Palo Alto Networks, har beskrivit en ny attackmetod kallad "Pass-ta-key". Metoden kan extrahera alla passkeys som lagras i Google Password Manager-appen på Windows-datorer som är infekterade med skadlig kod.
En forskare vid säkerhetsföretaget Palo Alto Networks, Arie Olshtein, har presenterat en ny attackmetod kallad "Pass-ta-key". Metoden utnyttjar en sårbarhet för att få tillgång till samtliga passkeys som lagras av Google Password Manager (GPM) på en Windows-maskin, förutsatt att maskinen är infekterad med skadlig programvara och att GPM är igång.
Detta har lett till förvirring eftersom många antog att passkeys enbart lagras i den säkra Trusted Platform Module (TPM). Attacken visar dock att GPM på Windows kan exponera passkeys under specifika omständigheter, vilket ifrågasätter den upplevda säkerheten.
Passkeys är ett relativt nytt autentiseringssystem som syftar till att ersätta traditionella lösenord med en säkrare metod. Forskningen syftar till att klargöra hur passkeys faktiskt lagras och skyddas, och att bedöma den övergripande säkerheten i systemet, snarare än att introducera en helt ny attacktyp.
Denna upptäckt understryker vikten av att förstå de specifika implementationsdetaljerna för säkerhetsfunktioner och vikten av robust skydd mot skadlig kod, även när man använder förbättrade autentiseringsmetoder som passkeys.