Pesquisadores da Unit 42, o braço de inteligência de ameaças da Palo Alto Networks, revelaram uma família de ataques que abala uma das promessas centrais da autenticação sem senha: a de que as passkeys sincronizadas na nuvem são imunes a roubo. Batizada de Pass-ta-key, a família reúne três técnicas — chamadas Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key — que exploram o Gerenciador de Senhas do Google no Chrome em máquinas Windows equipadas com Módulo de Plataforma Confiável (TPM). O detalhe que chama atenção: nenhuma delas quebra a criptografia. Em vez disso, atacam a forma como o Chrome e o autenticador em nuvem do Google lidam com confiança de dispositivo, integração, recuperação e credenciais sincronizadas.
O ponto de partida é realista e, por isso, desconfortável. Todos os três ataques exigem que o malware já esteja rodando na máquina da vítima. Em um dispositivo já comprometido, o invasor consegue ler ou alterar o perfil do Chrome, conversar com o TPM e inspecionar a memória do processo. A partir daí, o roubo das passkeys sincronizadas acontece sem que o usuário precise digitar senha, PIN ou usar a biometria. No cenário Golden, por exemplo, o malware força uma nova inscrição do dispositivo, lê o segredo de domínio de segurança (SDS) de 32 bytes enquanto ele fica brevemente em texto puro na memória do Chrome e o usa para descriptografar todas as passkeys sincronizadas da conta. O agravante: o Google não oferece uma forma de rotacionar esse segredo mestre. No cenário Silver, o atacante apaga o arquivo de estado do enclave local, forçando o Chrome a re-inscrever o dispositivo. Durante essa etapa, o navegador adia a criação da chave de verificação do usuário, e o invasor registra a própria chave na brecha. Como o autenticador em nuvem não valida a atestação da nova chave, as asserções assinadas por ela carregam a flag de verificação de usuário marcada como verdadeira.
Para entender o alcance, vale lembrar como as passkeys sincronizadas funcionam. Ao contrário das passkeys de hardware, que ficam presas a um token físico, as passkeys sincronizadas via Google Password Manager viajam com a conta. Elas permitem que o usuário acesse serviços em vários dispositivos com o mesmo par de chaves, protegido por uma chave mestre armazenada na nuvem do Google. Esse modelo é o que torna a experiência conveniente, mas também concentra o risco: tudo o que antes estava espalhado em tokens físicos passa a depender de um único segredo e da confiança que o Google deposita no dispositivo. Quando essa confiança pode ser manipulada por malware local, o elo mais fraco deixa de ser a criptografia e passa a ser o gerenciamento dessa confiança.
A implicação é profunda para o movimento de autenticação sem senha. A indústria vendeu as passkeys como o substituto definitivo das senhas, capazes de resistir a phishing e a roubo de credenciais. O Pass-ta-key não desfaz esse argumento no papel — ele mostra que a proteção vale pouco quando o dispositivo já foi comprometido. Nenhuma solução mágica surge disso. Os pesquisadores fizeram divulgação responsável e não descreveram uma campanha criminal ativa, o que traz alívio, mas não complacência: a técnica reforça que o comprometimento local continua sendo o ponto mais perigoso de ataque em qualquer modelo de autenticação. Fica a pergunta em aberto: se o segredo mestre do Golden não pode ser rotacionado, o que o Google — e a indústria de passkeys como um todo — fará para que a confiança de dispositivo deixe de ser um alvo tão lucrativo para o malware?
Fontes: BleepingComputer, The Hacker News, Gridinsoft
✓ Fontes independentes cruzadas e verificadas antes da publicação
