Password di Google Chrome Terancam Bocor Lewat Celah Pass-ta-key

Peneliti keamanan siber dari Unit 42 menemukan celah keamanan pada passkey berbasis Google Chrome yang disebut Pass-ta-key. Serangan ini memungkinkan peretas untuk memanipulasi titik akhir dan mengelabui situs web agar mengira passkey pengguna asli padahal sudah dibajak. Namun, syarat utama serangan ini adalah mesin Windows korban harus sudah terinfeksi oleh malware. Komputer yang bersih tidak akan rentan saat passkey digunakan.

Unit 42 merinci tiga jalur serangan. Metode pertama, Pass-ta-key dasar, melibatkan pengambilalihan akun menggunakan malware dan mengekspor kunci identitas ke disk. Metode kedua, Silver Pass-ta-key, menipu pengelola kata sandi agar menganggap pengguna telah membuka kunci perangkat menggunakan biometrik. Metode ketiga dan paling berbahaya, Golden Pass-ta-key, menargetkan proses enkripsi Security Domain Secret (SDS) yang masih terekspos di memori proses Chrome. Malware dapat mencuri data ini dan mengumpulkan seluruh database passkey pengguna.

Serangan Golden Pass-ta-key sangat fatal karena SDS yang dicuri bertindak sebagai cetak biru, memungkinkan peretas untuk mendekripsi setiap passkey yang dibuat di masa mendatinya. Unit 42 telah menghubungi Google untuk melaporkan eksploitasi ini. Meskipun temuan ini mengkhawatirkan, passkey pada dasarnya masih dianggap lebih aman dibandingkan kata sandi tradisional karena menghilangkan kebutuhan kata sandi dan menggunakan tanda tangan biometrik.