Un malware che gira come utente comune su Windows pu� entrare negli account protetti da passkey senza impronta digitale, senza PIN e senza che sullo schermo della vittima compaia nulla. � il risultato di tre tecniche di attacco documentate dall'Unit 42 di Palo Alto Networks, la pi� grave delle quali arriva a estrarre il segreto con cui Google cifra tutte le passkey sincronizzate di un account, in una forma che pu� essere trasferita altrove.
Le tre tecniche si chiamano Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key, e riguardano Google Password Manager dentro Chrome su macchine Windows dotate di TPM. Nessuna rompe la crittografia delle passkey: lavorano tutte sul codice che le circonda, cio� su come Chrome custodisce le chiavi del dispositivo, su come lo ri-registra quando quello stato viene a mancare e su quanto il servizio di destinazione verifichi davvero che un essere umano sia stato riconosciuto. Il presupposto � sempre lo stesso, un malware gi� in esecuzione sulla macchina della vittima: sono tecniche che descrivono cosa un attaccante raggiunge su un computer gi� perso, non come lo si perde.
La ricognizione iniziale � alla portata di un processo senza privilegi. Chrome conserva sul disco i record delle credenziali sincronizzate in %LocalAppData%\Google\Chrome\User Data\Profilo\Sync Data\LevelDB, e da l� si leggono i servizi presso cui la vittima usa una passkey, i nomi utente associati, gli identificativi delle credenziali e la chiave privata cifrata.
