I ricercatori di Palo Alto Networks hanno descritto tre nuovi attacchi che permettono ai cybercriminali di accedere all’account Google, aggirare la verifica dell’utente ed estrarre le passkey sincronizzate dal password manager di Chrome su dispositivi Windows con Trusted Platform Module (TPM). Ciò è tuttavia possibile solo se un malware è già presente sul dispositivo.
Descrizione degli attacchi Pass-ta-key
Le passkey sono più sicure delle password in quanto non possono essere indovinate, riutilizzate o rubate tramite phishing. Per l’autenticazione multi-fattore viene usato un PIN o il riconoscimento biometrico. I ricercatori di Palo Alto Networks hanno tuttavia scoperto vulnerabilità nel password manager di Chrome e nel Google Cloud Authenticator che possono essere sfruttate da un malware già presente sul dispositivo.
Dopo aver individuato i siti per i quali l’utente usa le passkey, insieme a username associati, identificatori e chiavi private cifrate (il relativo database sincronizzato è conservato sul dispositivo), i cybercriminali possono tentare il login al posto della vittima.
La prima tecnica, denominata Pass-ta-key, consente al malware di impersonare un dispositivo attendibile e richiedere una risposta di autenticazione valida per una delle passkey della vittima. Il malware sfrutta la chiave di identità del dispositivo presente nel TPM per firmare una richiesta inviata al Google Cloud Authenticator.
Quest’ultimo interpreta la richiesta come proveniente dal dispositivo della vittima e restituisce una risposta di autenticazione firmata, nota come asserzione, che può essere utilizzata per accedere all’account. Se il servizio richiede la verifica dell’utente tramite PIN o biometria, l’attacco non funziona.
La seconda tecnica, denominata Silver Pass-Ta-Key, permette di aggirare la verifica dell’utente. Il cybercriminale sfrutta il malware sul dispositivo per invalidare la chiave di verifica esistente o eliminare il file locale contenente lo stato della passkey. Successivamente registra una chiave di verifica sotto il suo controllo (Google Cloud Authenticator non verifica se la nuova chiave proviene da hardware attendibile).
Google accetta quindi le richieste firmate con la chiave del cybercriminale come prova che la vittima ha sbloccato il dispositivo utilizzando PIN o biometria. Viene così effettuato l’accesso all’account anche se convalida correttamente la verifica dell’utente. La registrazione della sua chiave permette al cybercriminale di accedere all’account da un altro dispositivo.
Infine, la tecnica denominata Golden Pass-ta-key permette al malware di ottenere la master key, nota come security domain secret (SDS), usata per cifrare tutte le passkey sincronizzate tramite password manager di Chrome. Questa master key era esposta in chiaro nei log FIDO. Google ha rimosso SDS dai log, ma può essere ancora estratta dalla memoria del processo di Chrome.
Il cybercriminale può quindi utilizzare la master key rubata per decifrare i record delle passkey sincronizzate e recuperare le chiavi private. Queste ultime possono essere trasferite ad un altro sistema e utilizzate per impersonare la vittima e accedere ai suoi account. Al momento non c’è nessun modo per modificare o revocare SDS, quindi la stessa master key può essere utilizzata per decifrare tutte le future passkey dell’account.
Ti potrebbe interessare
9 ago 2026