"Pass-ta-key" saldırıları Google Password Manager'daki senkronize passkey'leri hedef alıyor

Palo Alto Networks’ün tehdit araştırma birimi Unit 42, Chrome’un bulut tabanlı kimlik doğrulayıcısı Google Password Manager’a karşı üç ayrı saldırı yolu açıkladı.

Saldırı nasıl işliyor

“Pass-ta-key”, “Silver Pass-ta-key” ve “Golden Pass-ta-key” olarak adlandırılan bu üç yöntemden en güçlüsü, kullanıcının senkronize passkey’lerini koruyan ana anahtarı doğrudan hedef alıyor. Kritik nokta şu: saldırı WebAuthn’un kendi kriptografik protokolünü kırmıyor. Bunun yerine, Windows’ta Güvenilir Platform Modülüne (TPM) sahip bir cihazda zaten çalışan kötücül bir yazılımın, cihazın kimlik anahtarını kötüye kullanarak TPM’i saldırganın isteğini imzalamaya zorlamasına dayanıyor. Bu da kullanıcı etkileşimi veya cihaz kilidinin açılması olmadan geçerli görünen bir kimlik doğrulama onayı üretilebilmesi anlamına geliyor.

Önkoşul ve tepkiler

Saldırının çalışabilmesi için cihazda önceden çalışan bir zararlı yazılımın bulunması gerekiyor — yani bu bir “post-compromise” (ele geçirme sonrası) senaryosu, sıfırdan bir uzaktan saldırı değil. Bulguların ardından eBay kendi doğrulama sürecindeki ilgili bir açığı kapattı; Google’ın resmi bir yama veya açıklama takvimi ise henüz netleşmiş değil.

Sektöre etkisi

Passkey teknolojisi, parola tabanlı kimlik doğrulamaya kıyasla kimlik avı saldırılarına karşı önemli bir güvenlik artışı sağlasa da bu bulgular, “passkey = kırılamaz” varsayımının cihaz güvenliğinden bağımsız olmadığını gösteriyor. Özellikle kritik yönetim panellerine (bulut altyapısı, veritabanı yönetim arayüzleri, ödeme sistemleri) erişimde tek katman olarak yalnızca tarayıcı-senkronize bir passkey’e güvenmek, cihaz önceden ele geçirilmişse yeterli koruma sağlamayabiliyor. Güvenlik uzmanları, kritik erişim noktalarında donanım güvenlik anahtarı veya ayrı bir cihaz üzerinden ikincil doğrulama katmanının tercih edilmesini öneriyor — bu, bir yazılım güncellemesinden çok, kurumsal erişim politikalarına ilişkin operasyonel bir farkındalık meselesi olarak değerlendiriliyor.