Compass Security ha pubblicato una nota e due hook JavaScript per intercettare e modificare le chiamate WebAuthn nel browser, mostrando che il cerimoniale dei passkey non è un confine di fiducia: lo è la validazione lato server di ciò che l’autenticator restituisce.
Il punto pratico è semplice. La pagina può leggere e cambiare i parametri che avviano registrazione o login prima che arrivino all’autenticator, quindi ciò che il client “chiede” non basta a garantire user verification o policy corrette. Il comportamento è stato visto non solo sulla demo di WebAuthn, ma anche su siti reali.
Per chi testa applicazioni web o gestisce passkey via browser, la storia sposta l’attenzione sul controllo effettivo del server. Se la logica di sicurezza vive nel JavaScript della pagina, resta alterabile prima dell’autenticazione vera.