Nghiên cứu nêu cách trích xuất passkey trên Windows khi máy bị nhiễm mã độc
"A researcher described Pass-ta-key, an attack that can extract passkeys from Google Password Manager on Windows when the host is infected with malware. The article explains that this is not a passkey-specific flaw or a CVE, but a consequence of Windows app isolation and cloud-synced passkey designs; the practical mitigation is stronger endpoint security and limiting malware access rather than a protocol fix."
Rủi ro tập trung ở thiết bị đã bị nhiễm mã độc và khả năng truy xuất passkey đã đồng bộ; không phải lỗi giao thức, nhưng có thể làm lộ thông tin xác thực nếu endpoint bị xâm phạm.
Có thể ảnh hưởng đến an toàn đăng nhập và niềm tin vào triển khai passkey trên Windows; doanh nghiệp cần đầu tư thêm cho bảo mật endpoint và quy trình quản trị thiết bị.
Một nghiên cứu mới mô tả kỹ thuật Pass-ta-key, cho thấy kẻ tấn công có thể lấy được passkey từ Google Password Manager trên Windows nếu máy đã bị mã độc xâm nhập. Điểm đáng chú ý là đây không phải lỗ hổng riêng của passkey và cũng không có CVE; vấn đề nằm ở cách Windows cô lập ứng dụng và cách nhiều giải pháp passkey đồng bộ qua đám mây.
Theo phân tích, FIDO2 không bắt buộc passkey phải lưu trong TPM hay phần cứng chuyên dụng. Trên nhiều nền tảng, passkey được lưu cục bộ; riêng trên Windows, một số ứng dụng của bên thứ ba chọn lưu dưới dạng mã hóa đầu-cuối trên máy chủ để hỗ trợ đồng bộ giữa thiết bị. Khi thiết bị bị nhiễm mã độc, cơ chế này có thể bị lợi dụng để truy xuất dữ liệu xác thực.
Khuyến nghị thực tế là tăng cường bảo vệ endpoint, hạn chế quyền của tiến trình không tin cậy, và giám sát dấu hiệu malware trên máy người dùng. Với doanh nghiệp, cần xem passkey là một lớp xác thực mạnh hơn mật khẩu, nhưng vẫn phải kết hợp với EDR, chính sách thiết bị và kiểm soát truy cập phù hợp.