Tim peneliti keamanan siber dari Unit 42 menemukan celah keamanan pada sistem passkey berbasis Google Chrome. Kerentanan tersebut dieksploitasi melalui metode serangan baru yang dinamakan Pass-ta-key.
Melalui metode ini, penyerang dapat memanipulasi titik akhir dan mengelabui situs web agar menerima passkey yang telah dibajak seolah-olah asli. Kendati demikian, serangan ini membutuhkan syarat khusus, yakni perangkat komputer Windows milik pengguna harus sudah terinfeksi malware.
Perangkat yang bersih dari program jahat dipastikan tidak terdampak oleh kerentanan ini. Namun, malware pada komputer yang terinfeksi dapat meretas passkey saat proses autentikasi berlangsung, meskipun kunci tersebut awalnya dibuat di perangkat yang aman.
Laporan Unit 42 merinci tiga varian serangan Pass-ta-key yang mengeksploitasi sistem secara bertahap. Metode pertama merupakan teknik Pass-ta-key dasar yang berfokus pada pengambilalihan akun pengguna melalui perangkat yang terinfeksi.
Baca Juga: Pre-Order Galaxy Z Fold 8 Pecahkan Rekor di Eropa dan Asia
Pada teknik dasar tersebut, kunci identitas diekspor langsung ke dalam disk penyimpanan, alih-alih dilindungi oleh perangkat keras Trusted Platform Module (TPM). Malware kemudian melakukan autentikasi ke Google Password Manager tanpa memerlukan persetujuan dari pemilik akun.
Peneliti mencatat bahwa teknik dasar ini hanya dapat bekerja pada platform tertentu seperti eBay. Hal itu terjadi karena situs tersebut tidak memvalidasi penanda status yang memverifikasi apakah proses autentikasi pengguna benar-benar telah selesai.
Varian kedua dinamakan Silver Pass-ta-key yang bekerja dengan memanipulasi pengelola kata sandi. Serangan ini mengelabui sistem agar menganggap pengguna telah berhasil membuka kunci perangkat menggunakan autentikasi biometrik.
Dalam skenario Silver Pass-ta-key, komputer Windows yang terinfeksi dibuat tetap berada dalam kondisi tertunda. Pada kondisi tersebut, malware dapat mendaftarkan kuncinya sendiri sehingga semua akses peretas di masa depan akan disetujui secara otomatis.
Baca Juga: Cara Menguji Kompatibilitas 5G pada Smartphone dan Syarat Terhubung Jaringan
Metode ketiga sekaligus yang paling berbahaya adalah Golden Pass-ta-key. Varian ini menargetkan proses enkripsi utama yang dikenal sebagai Security Domain Secret (SDS).
Informasi rahasia SDS rupanya masih tertinggal dan terekspos di dalam memori proses Chrome. Malware dapat mencuri data tersebut untuk mengambil alih seluruh basis data passkey pengguna yang telah disinkronkan.
Pencurian SDS berdampak fatal karena data tersebut berfungsi sebagai cetak biru enkripsi. Akibatnya, setiap passkey baru yang dibuat melalui Google Password Manager di masa mendatang dapat didekripsi oleh peretas, kecuali jika pengguna menghasilkan SDS baru.
Unit 42 telah melaporkan temuan celah keamanan ini kepada pihak Google. Peneliti memperingatkan bahwa penyedia layanan lain yang mengandalkan model autentikator awan serupa juga berpotensi menghadapi risiko keamanan yang sama.
Baca Juga: Bocoran Spesifikasi Laptop Asus Googlebook CX9406 Terungkap
Meskipun kerentanan ini ditemukan pada proses pendaftaran dan sistem memori Chrome, teknologi passkey secara umum tetap dinilai lebih aman dibandingkan kata sandi tradisional. Namun, keamanan tersebut tetap bergantung pada kebersihan perangkat keras pengguna dari infeksi malware.
