LONDON (IT BOLTWISE) – Malware kann unter Windows nach einem Erstbefall Passkey-geschützte Konten erreichen, ohne dass der Angreifer dafür einen sichtbaren Fingerabdruck oder eine PIN vorhalten muss. Eine Sicherheitsanalyse beschreibt drei Angriffswege gegen den Cloud-Authenticator des Chrome Password Managers und zeigt, dass das Problem nicht die Kryptografie der Passkeys selbst betrifft, sondern die Implementierung rund um die Passkey-Zeremonie. Besonders kritisch wird es, wenn ein Angreifer an Schlüsselmaterial wie Device-Identitätsschlüssel oder den 32-Byte Security Domain Secret kommt. Unklar bleibt laut Recherche, ob alle Pfade bereits vollständig geschlossen sind und welche Nutzeraktionen einen eventuell gestohlenen Geheimniszustand zuverlässig entwerten.
Passkeys gelten als eines der wichtigsten Bausteine, um Phishing und Passwortdiebstahl spürbar unattraktiver zu machen. Genau deshalb trifft es in der Praxis auf Interesse, wenn eine Analyse zeigt, dass ein laufender Angreifer auf dem Zielsystem trotzdem Authentifizierungen anstoßen kann – selbst dann, wenn auf dem Bildschirm keine zusätzliche Bestätigung erscheint. Der entscheidende Punkt: Die beschriebenen Schwachstellen “brechen” nicht die zugrunde liegende Kryptografie, sondern greifen die Logik rund um die Passkey-Zeremonie an. Konkret geht es darum, wie Chrome Geräte-Keys verwaltet, wie es die Anmeldung nach einem Zustandwechsel neu anstößt und ob sich ein Relying Party tatsächlich verifiziert hat, bevor sie eine Assertion akzeptiert.
Technisch wird die Story damit zu einer Frage der Trust-Grenzen in der WebAuthn-Welt. Der Text benennt drei Pfade gegen den Cloud-Authenticator des Google Password Managers in Chrome unter Windows, wobei ein Trusted Platform Module (TPM) vorhanden sein muss. Alle Wege setzen zudem voraus, dass auf dem Gerät bereits Malware läuft – also “post-compromise” statt Angriff “von außen”. In der Analyse wird beschrieben, wie ein unprivilegierter Prozess lokale Metadaten aus dem Sync-Datenspeicher auslesen kann: unter anderem, welche Relying Parties und Benutzernamen zu den Passkeys gehören, inklusive Credential-IDs und verschlüsseltem Private-Key-Material. Damit entsteht für den Angreifer ein präziser Kontext, um später gezielt zu signieren statt nur allgemein “irgendeinen Login” zu versuchen.
Der erste Weg heißt Pass-ta-key und zielt auf den wrapped device identity key, also auf die Geräteidentität, die vom Browser gegenüber dem TPM zum Signieren verwendet wird. Die Malware kann so über Windows-CNG-Aufrufe eine Signatur für eine attacker-controlled Anforderung anstoßen, ohne dass ein User-Verification-Mechanismus sichtbar oder durch eine PIN angestoßen wird. Die Trennlinie zwischen einer Assertion nach echter Benutzerprüfung und einer ohne solche Prüfung reduziert sich in der Darstellung auf ein einzelnes Bit: den User Verified (UV)-Flag. Der Text argumentiert, dass ein Relying Party mit userVerification=required die Zeremonie fehlschlagen lassen müsste, wenn das UV-Bit fehlt. Wenn ein Anbieter dieses Flag jedoch nicht korrekt validiert, kann die Signatur trotzdem als gültig erscheinen. Die Analyse nennt hierzu Beispiele aus der Praxis: GitHub habe den Check erzwungen, während ein anderer Anbieter die Prüfung in einem Testkontext zunächst akzeptierte und nach einer Offenlegung den Validierungsfehler nachbesserte.
Im zweiten Pfad, Silver Pass-ta-key, wird der Angriff in eine Zwischenphase verlagert: Malware erzwingt, dass Chrome das Gerät neu anmeldet beziehungsweise re-enrollt. In dieser Phase erstellt Chrome laut Darstellung nicht sofort den User-Verification-Key, wodurch ein Zeitfenster entsteht, in dem ein Angreifer einen eigenen Schlüssel registrieren kann. Der zentrale Missstand liegt in der fehlenden (oder zumindest nicht ausreichend abgesicherten) Prüfung, ob neu registrierte Schlüssel aus “secure hardware” stammen. Wenn Assertions mit dem vom Angreifer registrierten Schlüssel signiert werden und das UV-Flag dann gesetzt ist, argumentiert die Analyse, lassen sich später Logins ermöglichen – wieder ohne dass das Opfergerät erneut in den Verifikationsablauf eingebunden werden muss. Dass Chromium-Quellmaterial eine deferred_uv_key_creation-Phase kennt, stützt die Architekturannahme; zugleich bleibt laut Bericht offen, wie genau die serverseitige Schlüsselersetzung in der jeweils aktuellen stabilen Chrome-Version gegenwärtig überprüft wird.
Der dritte Weg, Golden Pass-ta-key, geht am direktesten an die Geheimnisse heran: Er zielt auf den 32-Byte Security Domain Secret (SDS), der zur Entschlüsselung synchronisierter Passkey-Private-Keys dient. In der Darstellung kann Malware einen Re-Enrollment auslösen, anschließend das SDS kurzzeitig im Klartext aus dem Speicher des Chrome-Prozesses extrahieren und damit wiederherstellen, was für den Kontozugriff benötigt wird. Dass das Secret als 32-Byte-Größe in clientseitigen Datenstrukturen ankommt, wird durch das Chromium-Quellmaterial in Teilen untermauert; ob und wie zuverlässig sich damit echte Account Takeovers und eine Persistenz über spätere “Secret Epochs” hinweg erreichen lassen, bleibt jedoch in der Verantwortung des jeweiligen Angriffsmodells offen. Der Text erwähnt außerdem, dass frühere Exposure-Themen aus FIDO-Logs entfernt wurden und dass ein anderer Anbieter inzwischen das UV-Flag validiert, die Logs-Änderung aber nicht zwingend bedeutet, dass das Secret im Client-Zugriffsmodell ebenfalls verschwindet.
Für Unternehmen und Relying Parties ist die wichtigste Konsequenz weniger “Browser-Update jetzt sofort”, sondern eine präzisere Ableitung dessen, was sie an der Passkey-Seite kontrollieren. Die Analyse empfiehlt, userVerification in der WebAuthn-Zeremonie konsequent auf required zu setzen und das zurückgelieferte UV-Bit zu prüfen, statt sich darauf zu verlassen, dass der Client die Einstellung “so” übermittelt. Daneben sollten Credential Provider neu eingelernte Schlüssel durch attestierte Hardwareherkunft schützen, die Wiederanmelde- und Wiederherstellungslogik härten sowie lokale Zugriffe auf Passkey-Zustände stärker einschränken. Historisch gab es im WebAuthn-Umfeld immer wieder Lücken dort, wo Spezifikationsparameter wie UV in der Praxis nicht robust genug gegen Implementationsvarianten validiert wurden; die aktuelle Darstellung reiht sich in genau diese Kategorie ein, nur eben mit stärkerer Betonung auf den Post-Erstbefall-Pfad.
Ob Nutzer durch einfache Aktionen wie das Zurücksetzen einer Google Password Manager PIN oder das Löschen der Password-Manager-Daten einen bereits kompromittierten Secret-Zustand zuverlässig entwerten können, lässt die Recherche ausdrücklich offen. Zwar verweist der Text darauf, dass sich Nutzerunterstützungsmöglichkeiten rund um PIN-Änderungen und das Löschen von Password-Manager-Daten dokumentiert sind, aber nicht über SDS-spezifische Rotation oder Revocation-Kontrollen. Gleichzeitig sucht der Bericht öffentlich nach Rückmeldungen zur Frage, ob ein gestohlenes Security-Domain-Secret eine PIN-Änderung überlebt, und fordert damit geradezu dazu auf, das eigene Risiko nicht als rein browserseitiges Problem zu behandeln. Aus Marktsicht heißt das: Auch wenn Passkeys weiterhin einen Sicherheitsgewinn gegenüber Passwörtern bringen, müssen Identity-Teams die Validierungspfade an jeder Relying Party konsequent absichern und die Annahme “Client ist vertrauenswürdig” durch ein realistisches Bedrohungsmodell ersetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkey-Angriffe nach Erstbefall: Google Password Manager unter Druck" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkey-Angriffe nach Erstbefall: Google Password Manager unter Druck" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkey-Angriffe nach Erstbefall: Google Password Manager unter Druck« bei Google Deutschland suchen, bei Bing oder Google News!