Sicherheitsforscher zeigen Angriffe auf Passkeys im Google Passwort Manager

Sicherheitsforscher von Unit 42 haben Schwachstellen in der Passkey-Implementierung des Google Passwort Managers unter Chrome für Windows dokumentiert. Unter den Namen Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key beschreiben die Experten drei Angriffspfade, über die Schadsoftware auf bereits infizierten Rechnern Passkey-geschützte Konten übernehmen kann. Wichtig zur Einordnung: Die zugrunde liegende FIDO2- und WebAuthn-Kryptografie von Passkeys ist weiterhin sicher und ungebrochen. Die Bedrohung betrifft ausschließlich Rechner, die bereits mit Malware infiziert sind. Die Schadsoftware hebelt dabei nicht die Verschlüsselung aus, sondern nutzt Lücken in der lokalen Umsetzung von Google Chrome und dessen Cloud-Authentifizierung aus, um Eingabeaufforderungen wie Fingerabdruck, Gesichtserkennung oder PIN zu umgehen. Bei der Methode Pass-ta-key imitiert die Malware ein vertrauenswürdiges Gerät und fordert ohne Interaktion des Nutzers eine gültige Anmeldebestätigung bei Google an. Die Variante Silver Pass-ta-key schleust einen eigenen Verifizierungsschlüssel in den Cloud-Dienst ein, um auch künftige Anmeldungen lautlos durchzuführen. Besonders kritisch ist die Methode Golden Pass-ta-key: Hierbei liest die Schadsoftware den Hauptschlüssel, das sogenannte Security Domain Secret, zur Entschlüsselung aller im Google-Konto synchronisierten Passkeys direkt aus dem Arbeitsspeicher von Chrome aus. Dadurch können Angreifer die privaten Schlüssel extrahieren, auf eigene Rechner übertragen und dort für unbefugte Anmeldungen nutzen. Hinweis: Dieser Artikel enthält Affiliate-Links. Kauft ihr darüber ein, erhalten wir eine kleine Provision - ohne Aufpreis für euch und ohne Einfluss auf unsere redaktionelle Meinung.