Google Password Manager Attacks Could Let Malware Hijack Passkey-Protected Accounts

Vulnérabilités des passkeys dans Google Password Manager

Des chercheurs de Unit 42 ont identifié trois méthodes d’attaque ciblant le gestionnaire de mots de passe de Google sur Windows. Ces techniques permettent à un logiciel malveillant, déjà présent sur le poste, d’usurper l’identité d’un utilisateur sans interaction physique (biométrie ou code PIN). Aucune CVE n’est associée à ces découvertes.

Points clés :

• Conditions préalables : Les attaques nécessitent une compromission initiale de la machine (malware actif) et s’appliquent aux systèmes équipés d’un module TPM.
• Pass-ta-key : Utilise l’API Windows (CNG) pour forcer le TPM à signer des requêtes avec une clé exportée, en exploitant l’absence de vérification du bit « User Verified » (UV) par certains sites.
• Silver Pass-ta-key : Force le ré-enrôlement d’un appareil et injecte une clé contrôlée par l’attaquant avant la sécurisation matérielle, permettant des connexions persistantes.
• Golden Pass-ta-key : Vise l’extraction du « Security Domain Secret » (SDS) directement dans la mémoire vive de Chrome, compromettant l’ensemble des clés privées synchronisées.

Vulnérabilités :

• Absence de validation rigoureuse du flag userVerification par les sites web (relying parties).
• Gestion défaillante de l’attestation matérielle lors du ré-enrôlement des dispositifs.
• Exposition temporaire de secrets cryptographiques sensibles (SDS) en clair dans la mémoire du processus Chrome.

Recommandations :

• Pour les services web : Impérativement exiger la vérification de l’utilisateur (userVerification: required) et valider systématiquement le bit UV dans la réponse reçue, sans se fier uniquement à la requête initiale.
• Pour les fournisseurs de services : Implémenter une attestation matérielle stricte pour tout nouvel enrôlement de clé, renforcer les contrôles de ré-enregistrement et protéger les clés maîtresses contre l’exposition en mémoire ou dans les journaux système.
• Pour les utilisateurs : Bien qu’aucune action directe ne soit documentée pour révoquer un SDS compromis, la surveillance des activités de compte reste primordiale.

Source