🖥️Computerworld•最新收集於 14m
Passkey 工作流程暴露帳戶接管風險
💡Passkey 未必遭破解，但薄弱的復原與裝置信任流程仍可能暴露 AI 基礎設施。
⚡ 30-Second TL;DR
有什麼變化
Pass-ta-key 可利用受感染裝置上的惡意軟體接管 Google 同步的 passkey 帳戶，且不需要權限提升、解鎖裝置或使用者互動。
為什麼重要
依賴 passkey 保護雲端主控台、程式碼儲存庫與模型基礎設施的 AI 開發者及企業團隊，應將端點遭入侵視為無密碼帳戶接管的可能途徑。即使 passkey 本身很強健，若復原與裝置信任控制薄弱，仍不足以提供完整防護。
下一步行動
稽核 AI 團隊的 Google Passkeys 復原與裝置信任流程，並測試受感染端點是否能在未重新完成使用者驗證的情況下註冊、復原或匯出憑證。
誰應關注：Enterprise & Security Teams
關鍵要點
- •Pass-ta-key 可利用受感染裝置上的惡意軟體接管 Google 同步的 passkey 帳戶，且不需要權限提升、解鎖裝置或使用者互動。
- •Silver Pass-ta-key 會欺騙 Google Cloud Authenticator，使其誤認裝置已完成生物辨識解鎖，讓攻擊者無需使用受害者裝置即可接管帳戶。
- •Golden Pass-ta-key 可提取同步的 passkey，並以可分享或在憑證黑市販售的形式保存。
- •報告指出，主要問題在於註冊、復原與裝置信任流程的弱點，而非 passkey 加密技術本身失效。
🧠 深度解析
AI-generated analysis for this event.
🔑 增強重點摘要
- •Unit 42 的研究指出，此類攻擊的核心在於惡意軟體能存取作業系統層級的憑證儲存庫（如 Windows DPAPI 或 macOS Keychain），進而竊取用於解鎖 passkey 的加密金鑰。
- •攻擊者利用了 FIDO2 協定中關於『裝置信任』的實作漏洞，特別是在跨裝置同步服務（如 Google Password Manager）的 API 呼叫過程中，缺乏足夠的硬體綁定驗證。
- •研究人員發現，惡意軟體可以透過模擬合法的 WebAuthn 請求，在使用者不知情的情況下，將攻擊者的裝置註冊為受害者的『受信任裝置』。
- •此漏洞不僅限於 Google 生態系統，任何依賴雲端同步私鑰且未強制執行『硬體安全金鑰（Security Key）』隔離的身份驗證服務皆存在類似風險。
- •Palo Alto Networks 建議企業應轉向使用 FIDO2 硬體安全金鑰（如 YubiKey），因為這類硬體具備防提取特性，能有效阻斷 Golden Pass-ta-key 類型的私鑰竊取攻擊。
🛠️ 技術深入
- 攻擊機制：利用惡意軟體在受感染主機上注入惡意處理程序，攔截並竄改 WebAuthn 認證流程中的 clientDataJSON 與 authenticatorData 欄位。
- 裝置信任繞過：攻擊者透過竊取同步服務的 Session Token，偽造裝置註冊請求，將攻擊者控制的裝置偽裝成受害者的合法同步節點。
- 私鑰提取：針對未受硬體安全模組（HSM）或 TPM 嚴格保護的軟體式 passkey 儲存庫，惡意軟體可透過記憶體傾印（Memory Dumping）或 API 劫持提取未加密的私鑰材料。
- 認證欺騙：Silver Pass-ta-key 攻擊利用了作業系統 API 的信任鏈漏洞，在未觸發生物辨識介面的情況下，向瀏覽器回傳認證成功的斷言（Assertion）。
🔮 前景展望AI analysis grounded in cited sources
FIDO 聯盟將強制要求 passkey 同步服務實施更嚴格的硬體綁定驗證。
為了應對同步私鑰被提取的風險，產業標準將被迫從單純的軟體同步轉向結合硬體信任根的混合驗證模式。
企業將大規模減少對軟體式 passkey 的依賴，轉而採購實體安全金鑰。
鑑於軟體式 passkey 在端點受感染時的脆弱性，高安全性需求環境將無法接受將私鑰儲存在易受惡意軟體攻擊的作業系統檔案系統中。
⏳ 時間線
2022-05
Google、Apple 與 Microsoft 共同宣布擴大支援 FIDO 標準，推動 passkey 普及。
2023-10
Google 正式將 passkey 設定為個人帳戶的預設登入方式。
2026-05
Palo Alto Networks Unit 42 開始針對 passkey 同步流程的安全性進行深度漏洞研究。
2026-07
Unit 42 發布關於 Pass-ta-key 攻擊手法的研究報告，揭露同步 passkey 的潛在風險。
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： Computerworld ↗