Ba nghiên cứu mới cho thấy có thể vượt qua bảo vệ passkey
"Three independent research efforts showed ways to bypass passkey-based protections without breaking FIDO cryptography: one chain reused Windows-exposed signed authentication material to impersonate users in Microsoft Entra ID, another recovered synced passkey private keys from Google Password Manager in Chrome, and a third abused a Windows Hello for Business key from an already signed-in session. Microsoft assigned CVE-2026-34348 to a Windows Event Logging Service information disclosure issue and said it applied mitigations for the Entra passkey relay issue; Google removed exposed logging of the Security Domain Secret, but the research noted no rotation/revocation path for it."
Ảnh hưởng đến xác thực đa yếu tố chống phishing, có thể dẫn tới mạo danh người dùng và tái sử dụng dữ liệu xác thực trong một số kịch bản. Rủi ro tăng nếu thiết bị đã bị nhiễm mã độc hoặc hệ thống còn lưu dữ liệu ký/secret nhạy cảm.
Có thể tác động đến tài khoản đặc quyền, quy trình SSO/MFA và vận hành trên Windows endpoint. Doanh nghiệp cần chuẩn bị cho kiểm tra cấu hình, vá lỗi, và đánh giá lại mức độ tin cậy của passkey đồng bộ.
Ba nhóm nghiên cứu độc lập đã công bố các cách vượt qua bảo vệ passkey mà không cần phá vỡ FIDO cryptography. Điểm chung của các kỹ thuật này là lợi dụng dữ liệu xác thực đã được ký, mã khóa đồng bộ trên thiết bị, hoặc phiên đăng nhập Windows đang hoạt động để xác thực thay cho người dùng.
SpecterOps mô tả chuỗi tấn công liên quan đến Windows và Microsoft Entra ID, trong đó dữ liệu chữ ký được hệ thống lưu lại có thể bị tái sử dụng để mạo danh người dùng, kể cả khi chính sách yêu cầu phishing-resistant MFA. Microsoft đã gán CVE-2026-34348 cho một lỗi information disclosure trong Windows Event Logging Service và cho biết đã áp dụng biện pháp giảm thiểu cho vấn đề relay assertions liên quan đến passkey.
Unit 42 cho thấy trên Google Password Manager trong Chrome, kẻ tấn công có thể khai thác Security Domain Secret để khôi phục private keys của passkey đã đồng bộ. Google đã loại bỏ việc ghi log giá trị này, nhưng nghiên cứu lưu ý hiện chưa có cơ chế rotate/revoke rõ ràng.
Nghiên cứu thứ ba cho thấy Windows Hello for Business có thể bị lạm dụng từ một phiên đã đăng nhập mà không cần yêu cầu lại PIN hoặc biometric.
Khuyến nghị: ưu tiên least privilege, tăng cường endpoint protection, rà soát Windows logging, và theo dõi cập nhật từ Microsoft và Google.