Investigadores de Unit 42, el brazo de inteligencia de amenazas de Palo Alto Networks, han revelado una familia de ataques que tambalea una de las promesas centrales de la autenticación sin contraseña: que las passkeys sincronizadas en la nube están a salvo del robo. Bautizada como Pass-ta-key, la familia reúne tres técnicas — Pass-ta-key, Silver Pass-ta-key y Golden Pass-ta-key — que atacan al Administrador de contraseñas de Google dentro de Chrome en dispositivos Windows equipados con Módulo de Plataforma Confiable (TPM). El detalle llamativo es que ninguna rompe la criptografía. En su lugar, explotan las debilidades en cómo Chrome y el autenticador en la nube de Google manejan la confianza de dispositivo, la incorporación, la recuperación y las credenciales sincronizadas.
El punto de partida es realista y, por eso, inquietante. Los tres ataques exigen que el malware ya esté ejecutándose en la máquina de la víctima. En un dispositivo ya comprometido, el atacante puede leer o alterar el perfil de Chrome, comunicarse con el TPM e inspeccionar la memoria del proceso. A partir de ahí, el robo de las passkeys sincronizadas ocurre sin que el usuario tenga que escribir una contraseña, introducir un PIN o usar la biometría. En el escenario Golden, por ejemplo, el malware fuerza una nueva inscripción del dispositivo, lee el secreto de dominio de seguridad (SDS) de 32 bytes mientras queda brevemente en texto plano en la memoria de Chrome y lo usa para descifrar todas las passkeys sincronizadas de la cuenta. El agravante: Google no ofrece ninguna forma de rotar ese secreto maestro. En el escenario Silver, el atacante borra el archivo de estado del enclave local, obligando a Chrome a reinscribir el dispositivo. Durante ese flujo, el navegador pospone brevemente la creación de la clave de verificación del usuario, y el atacante registra su propia clave en ese hueco. Como el autenticador en la nube nunca valida la atestación de la nueva clave, las aserciones firmadas por ella llevan la marca de verificación de usuario establecida en 1.
Para calibrar el impacto, conviene recordar cómo funcionan las passkeys sincronizadas. A diferencia de las passkeys de hardware, que permanecen ligadas a un token físico, las sincronizadas a través del Administrador de contraseñas de Google viajan con la cuenta. Permiten al usuario acceder a servicios en varios dispositivos con el mismo par de claves, protegido por una clave maestra guardada en la nube de Google. Ese modelo es lo que hace la experiencia cómoda, pero también concentra el riesgo: todo lo que antes estaba repartido en tokens físicos depende ahora de un único secreto y de la confianza que Google deposita en el dispositivo. Cuando el malware local puede manipular esa confianza, el eslabón más débil deja de ser la criptografía y pasa a ser la gestión de esa confianza.
La implicación es profunda para el movimiento sin contraseña. La industria vendió las passkeys como el reemplazo definitivo de las contraseñas, capaces de resistir el phishing y el robo de credenciales. Pass-ta-key no desmonta ese argumento sobre el papel — demuestra que la protección vale poco una vez que el dispositivo ya está comprometido. No surge ninguna solución mágica. Los investigadores hicieron divulgación responsable y no describieron una campaña criminal activa, lo que alivia, pero no invita a la complacencia: la técnica refuerza que el compromiso local sigue siendo la superficie de ataque más peligrosa en cualquier modelo de autenticación. Queda la pregunta abierta: si el secreto maestro de Golden no puede rotarse, ¿qué harán Google — y la industria de passkeys en general — para que la confianza de dispositivo deje de ser un objetivo tan lucrativo para el malware?
Fuentes: BleepingComputer, The Hacker News, Gridinsoft
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
