Malware Pass-ta-key Bobol Passkey Chrome di Windows

Sistem otentikasi passkey yang diandalkan sebagai pengganti kata sandi konvensional kini menghadapi ancaman keamanan baru. Peneliti siber dari Unit 42 menemukan teknik serangan bernama Pass-ta-key yang mampu menembus passkey berbasis Google Chrome, seperti dilansir dari Detik iNET.

Metode eksploitasi ini menyasar Google Password Manager dengan cara memanipulasi titik akhir sistem. Peretas dapat mengelabui situs web agar menerima passkey bajakan seolah-olah proses autentikasi biometrik pengguna berlangsung sah.

Kerentanan ini tidak berdampak pada perangkat yang bersih. Serangan Pass-ta-key hanya dapat diluncurkan jika komputer Windows milik korban telah terinfeksi malware sebelumnya. Meski passkey dibuat pada perangkat aman, malware tetap dapat mengeksploitasinya saat proses autentikasi berjalan.

Tim peneliti Unit 42 membagi eksploitasi sistem ini ke dalam tiga varian mekanisme serangan yang bekerja secara bertahap.

1. Pass-ta-key Dasar

Pada varian pertama, malware mengambil alih akun dengan mengekspor kunci identitas ke dalam disk. Langkah ini memotong sistem keamanan hardware Trusted Platform Module (TPM) yang seharusnya melindungi kunci tersebut. Malware kemudian melakukan autentikasi ke Google Password Manager tanpa persetujuan pengguna. Metode ini umumnya berhasil pada situs seperti eBay yang tidak memvalidasi bendera verifikasi pengguna.

2. Silver Pass-ta-key

Mekanisme kedua bekerja dengan memanipulasi pengelola kata sandi agar mendeteksi biometrik pengguna telah terbuka. Komputer Windows yang terinfeksi ditahan dalam status tertunda saat verifikasi belum selesai. Dalam kondisi tersebut, peretas dapat mendaftarkan kunci baru yang akan disetujui secara otomatis oleh sistem di masa mendatang.

3. Golden Pass-ta-key

Varian ketiga menjadi ancaman paling fatal karena menargetkan Security Domain Secret (SDS), yakni proses enkripsi data passkey. Informasi rahasia ini ditemukan masih terekspos di dalam memori proses Chrome. Setelah mencuri SDS, malware dapat mendeskripsi seluruh basis data passkey pengguna yang tersinkronisasi. Pencurian SDS ini memungkinkan peretas membuka semua passkey baru di masa depan kecuali pengguna memperbarui SDS mereka.

Unit 42 telah melaporkan temuan kerentanan ini kepada pihak Google. Para peneliti mengingatkan bahwa penyedia layanan lain yang mengoperasikan model autentikasi cloud serupa juga berisiko menghadapi ancaman sejenis.

Eksploitasi ini tidak merusak konsep dasar keamanan passkey yang tetap lebih tangguh dibanding kata sandi tradisional. Namun, celah pada proses onboarding dan memori Chrome menunjukkan bahwa sistem tetap rentan jika perangkat keras telah disusupi malware.