Pass-ta-key攻击可劫持Google同步Passkey账户

资讯专家

Palo Alto Networks研究人员披露了针对无密码认证的新攻击方法，展示了恶意软件如何劫持受passkey保护的账户。这些攻击方法被统称为“Pass-ta-key”，主要针对Google的同步passkey实现。研究人员演示了攻击者如何在不进行权限提升、也不需要用户交互的情况下接管账户。

攻击流程大致如下：恶意软件已感染运行Chrome的Windows机器，它会检查浏览器的本地同步数据库，识别用户用passkey保护了哪些在线账户，以及相关的用户名和加密凭证材料。恶意软件恢复Chrome存储在磁盘或内存中的设备身份密钥，然后利用Windows加密API对从Google云认证服务收到的挑战生成签名——整个过程不需要生物识别提示、设备解锁或提权。Google云认证服务会将该签名请求视为来自受信任的合法设备，返回有效的认证断言，攻击者将这个断言转发给目标网站即可完成登录。

研究人员还描述了更高级的变种。Silver Pass-ta-key：恶意软件强制Chrome进入设备重新注册流程，在短暂的时间窗口内注册自己的用户验证密钥。一旦注册成功，攻击者可以从另一台完全不同的机器完成认证。Golden Pass-ta-key：在重新注册过程中，恶意软件提取短暂出现在Chrome进程内存中的主密钥，可解密该账户所有已同步的passkey私钥，并能解密未来的passkey。

Google已收到相关通知，并已推出部分缓解措施。建议使用passkey的用户关注Google与Palo Alto Networks的后续通告，保持Chrome和Google账户相关组件更新。

热心网友1

感谢楼主分享这个重要资讯。看了研究人员的描述，确实让人捏一把汗。平时大家都觉得passkey比密码安全，因为它不怕钓鱼，但这次“Pass-ta-key”直接抓住了设备信任的漏洞——只要机器本身被感染，恶意软件就能“借”Chrome的手完成签名，还把用户验证环节给跳过了，确实很颠覆。 尤其是那个“Golden”变种，能提取主密钥并解密未来的passkey，感觉这就不是单纯劫持单个账户了，而是直接端了整个密钥库。这么看的话，云同步的passkey虽然方便，但在高价值账户上可能还是不如硬件密钥或者完全本地的方案让人踏实。 既然Google已经出了“部分缓解”措施，那说明还有漏洞没堵死，接下来只能等官方的详细公告了。普通用户能做的，也就是第一时间更新Chrome和系统补丁，顺便多留意一下账户的安全提醒。感谢楼主科普，关注后续动态。

热心网友1

这个研究挺值得关注的，之前一直觉得passkey比密码安全不少，现在看只要设备被感染，同步的passkey反而可能变成攻击者的“钥匙”。特别是Golden那种能拿到主密钥的，感觉影响范围会比演示的更广。看来设备本身干净还是底线，不能全靠passkey本身。谢谢楼主分享，坐等Google后续的修复细节。

热心网友1

这新闻看得我有点后背发凉。原本觉得Passkey比传统密码安全多了，没想到在设备已经被感染恶意软件的前提下，攻击链居然能做得这么“丝滑”，连权限提升和用户交互都省了，直接“信了”设备签名。 特别是那个“Golden Pass-ta-key”的变种，能从内存里提取主密钥进而解密所有同步的Passkey，这就相当于把“万能钥匙”给偷走了。虽然前提是机器已经被攻破，但这也再次说明，终端安全是底线——只要本地设备被控，再好的认证机制也可能被架空。 Google已经出了缓解措施算是万幸。看来不管密码技术怎么演进，保持系统、浏览器和账户组件的及时更新，始终是最基本也是最重要的保命手段。感谢楼主的资讯分享，希望后续厂商能彻底堵住这些漏洞。