Pass-the-Passkey: Neue Angriffsvektoren auf passwortlose Authentifizierung

Pass the Passkey: A Novel Attack Surface in Passwordless Authentication

Diese Analyse deckt drei neue Angriffsklassen auf passwortlose Authentifizierung auf, die sich gegen Googles synchronisierte Passkeys und den Cloud-Authenticator richten. Malware auf einem kompromittierten Endgerät kann Onboarding-, Wiederherstellungs- und Gerätevertrauens-Workflows missbrauchen, um passwortgeschützte Konten zu übernehmen, ohne dass eine Benutzerinteraktion, Geräteentsperrung oder Privilegieneskalation erforderlich ist. Die Angriffe umgehen die Benutzerverifizierung und extrahieren alle synchronisierten privaten Passkey-Schlüssel, was die Sicherheitsannahmen von Passkeys infrage stellt.