Le passkey sono state promosse come l’alternativa più sicura alle password, basata su crittografia a chiave pubblica e autenticazione biometrica. Ma un nuovo attacco, battezzato Pass-ta-key, mostra che anche questa tecnologia può essere aggirata se conservata in ambienti non sufficientemente protetti. Secondo quanto riportato da Punto Informatico, è possibile rubare una passkey e usarla per accedere a un account Google sfruttando falle nel password manager di Chrome e nel servizio Cloud Authenticator.
Come funziona l’attacco Pass-ta-key
L’idea alla base è semplice ma pericolosa: se un malintenzionato riesce a ottenere l’accesso al dispositivo della vittima o al profilo Chrome sincronizzato, può estrarre le passkey archiviate nel password manager del browser. Queste credenziali, una volta rubate, vengono utilizzate per autenticarsi su un altro computer, aggirando del tutto i meccanismi di sicurezza che dovrebbero impedire l’uso non autorizzato.
Il nome Pass-ta-key gioca proprio sull’idea che la passkey, pensata per sostituire la password, diventi essa stessa un “passe-partout” digitale per l’account violato. L’attacco sfrutta nello specifico la sincronizzazione cloud di Chrome, dove le passkey vengono memorizzate in modo da essere disponibili su tutti i dispositivi dell’utente.
Le vulnerabilità nel password manager di Chrome
Il password manager di Chrome conserva le passkey all’interno del profilo utente, protetto da una chiave di crittografia derivata dalla password dell’account Google. Tuttavia, se un utente malintenzionato entra in possesso di quel profilo (ad esempio tramite malware, phishing o accesso fisico al PC) e della password principale, può decifrare e utilizzare le passkey come se fosse il legittimo proprietario.