L’assunto che i passkey chiudano il problema del furto credenziali salta quando il browser e il suo stato sincronizzato finiscono in mano a un malware su Windows. In quel caso non serve rompere la crittografia: basta riusare o sostituire lo stato di fiducia che Chrome conserva per Google Password Manager, e l’accesso può continuare anche da una macchina dell’attaccante.
Unit 42 descrive tre percorsi contro Chrome su Windows con TPM: ottenere un’asserzione di login valida senza verifica dell’utente, installare una chiave di user verification controllata dall’attaccante, oppure estrarre il Security Domain Secret che sblocca i passkey sincronizzati. Le tecniche riguardano Google Password Manager in Chrome, partono sempre da un host già compromesso e possono lasciare accesso riutilizzabile anche dopo la reimpostazione del dispositivo o la ri-registrazione del profilo.
Per i team che stanno distribuendo passkey su Chrome in Windows, il punto è che la compromissione dell’endpoint può trasformarsi in persistenza sull’identità, non solo in una violazione locale. Reimpostare il dispositivo non basta se è stato rubato o sostituito il materiale che definisce la fiducia del passkey.