Celah keamanan baru terdeteksi pada sistem autentikasi passkey berbasis Google Chrome. Tim peneliti siber dari Unit 42 menemukan metode eksploitasi yang dinamakan Pass-ta-key, seperti dilansir dari Detik iNET. Passkey sebenarnya dirancang untuk menggantikan kata sandi konvensional dengan tanda tangan biometrik perangkat.
Namun, kerentanan pada Google Password Manager memungkinkan peretas membajak titik akhir untuk memalsukan autentikasi pengguna. Ancaman ini hanya terjadi apabila komputer Windows milik korban telah terinfeksi malware terlebih dahulu. Perangkat yang bersih dari program jahat dipastikan tidak akan terpengaruh oleh metode serangan ini.
Peretas memanfaatkan malware untuk merusak proses autentikasi passkey. Bahkan, kunci keamanan yang dibuat di perangkat sehat pun tetap bisa disusupi saat proses verifikasi berlangsung.
Laporan Unit 42 membagi teknik eksploitasi Pass-ta-key ke dalam tiga tahapan metode dengan tingkat bahaya yang berbeda.
1. Pass-ta-key Dasar
Varian pertama bekerja dengan mengekspor kunci identitas ke dalam disk lokal. Malware mengeksekusi langkah ini alih-alih menyimpannya di dalam hardware pelindung TPM yang aman.
Selanjutnya, program jahat melakukan autentikasi otomatis ke Google Password Manager tanpa izin pemilik akun. Metode awal ini terbatas pada platform tertentu seperti eBay yang tidak memvalidasi bendera verifikasi pengguna.
2. Silver Pass-ta-key
Varian kedua memanipulasi pengelola kata sandi agar mendeteksi proses pembukaan biometrik telah berhasil. Malware menahan sistem Windows dalam kondisi tertunda sehingga status verifikasi belum dianggap selesai.
Situasi tersebut dimanfaatkan peretas untuk mendaftarkan kunci baru milik mereka sendiri. Alhasil, seluruh permintaan akses dari peretas di masa mendatang akan langsung disetujui oleh sistem.
3. Golden Pass-ta-key
Varian ketiga merupakan teknik paling berbahaya karena mengincar Security Domain Secret (SDS), yakni proses enkripsi data passkey. Informasi rahasia tersebut ternyata masih terekspos di dalam memori proses Chrome.
Malware dapat mencuri SDS untuk meretas seluruh basis data passkey yang tersinkronisasi. Karena SDS berfungsi sebagai cetak biru enkripsi, setiap passkey baru akan mudah didekripsi kecuali pengguna memperbarui SDS mereka.
Respon Peneliti dan Status Keamanan Passkey
Pihak Unit 42 telah melaporkan temuan kerentanan ini kepada Google. Peneliti mengingatkan bahwa penyedia layanan lain yang menggunakan arsitektur autentikator cloud serupa juga berisiko menghadapi ancaman sejenis.
Secara mendasar, teknologi passkey tetap terbukti lebih aman daripada kata sandi tradisional. Namun, kelemahan pada memori Chrome dan proses onboarding menunjukkan bahwa eksploitasi tetap bisa terjadi jika perangkat keras pengguna sudah dikuasai malware.
