Serangan Pass-ta-key Memungkinkan Malware Membajak Passkey Google Password Manager

Peneliti keamanan mengungkap tiga teknik serangan baru yang dijuluki Pass-ta-key. Teknik ini memungkinkan malware pada komputer Windows yang telah terinfeksi untuk menyalahgunakan passkey yang tersinkronisasi melalui Google Password Manager, sehingga penyerang dapat mengambil alih akun, melewati proses verifikasi pengguna, bahkan mencuri kunci privat passkey.

Meski demikian, para peneliti menegaskan bahwa serangan ini tidak memecahkan mekanisme kriptografi passkey. Sebaliknya, serangan memanfaatkan kelemahan pada proses kepercayaan perangkat (device trust), onboarding, pemulihan akun, serta sinkronisasi kredensial yang diterapkan oleh Chrome dan layanan cloud authenticator milik Google.

Apa Itu Passkey?

Passkey merupakan metode autentikasi tanpa kata sandi yang menggunakan pasangan kunci kriptografi untuk masuk ke suatu layanan. Kunci privat disimpan secara aman di perangkat pengguna, sementara proses autentikasi dilakukan menggunakan PIN atau biometrik seperti sidik jari maupun pengenalan wajah.

Dibandingkan password konvensional, passkey jauh lebih aman karena tidak dapat ditebak, digunakan ulang, ataupun dicuri melalui serangan phishing.

Namun, penelitian terbaru menunjukkan bahwa keamanan tersebut tetap bergantung pada kondisi perangkat. Jika komputer telah lebih dulu terinfeksi malware, passkey masih dapat disalahgunakan melalui teknik tertentu.

Pass-ta-key Menyamar sebagai Perangkat Tepercaya

Teknik pertama yang diberi nama Pass-ta-key memungkinkan malware tanpa hak administrator menyamar sebagai perangkat tepercaya milik korban.

Malware memanfaatkan device identity key berbasis Trusted Platform Module (TPM) yang digunakan Chrome untuk mengirim permintaan autentikasi ke cloud authenticator Google.

Proses ini dapat dilakukan tanpa:

• Hak administrator.
• Interaksi pengguna.
• Verifikasi biometrik.
• Membuka kunci perangkat.

Cloud authenticator kemudian menganggap permintaan tersebut berasal dari perangkat asli korban dan mengembalikan respons autentikasi yang sah untuk masuk ke akun.

Namun, setiap respons menyertakan indikator User Verified yang menunjukkan apakah pengguna benar-benar telah melakukan autentikasi menggunakan PIN atau biometrik.

Dalam pengujian, teknik ini gagal terhadap GitHub karena layanan tersebut memeriksa indikator tersebut dengan benar. Sebaliknya, peneliti berhasil mengeksploitasi eBay karena layanan tersebut saat itu tidak memvalidasi status verifikasi pengguna secara tepat. Setelah menerima laporan, eBay telah memperbaiki kelemahan tersebut.

Silver Pass-ta-key Dapat Menanamkan Kunci Milik Penyerang

Teknik kedua yang disebut Silver Pass-ta-key memiliki dampak yang lebih serius.

Pada skenario ini, malware memaksa Chrome melakukan proses registrasi ulang perangkat dengan menghapus status passkey lokal atau membuat kunci verifikasi sebelumnya menjadi tidak berlaku.

Saat proses registrasi ulang berlangsung, penyerang dapat mendaftarkan kunci verifikasi miliknya sendiri ke cloud authenticator Google.

Karena sistem tidak memverifikasi apakah kunci baru berasal dari perangkat keras tepercaya, permintaan yang ditandatangani menggunakan kunci milik penyerang tetap dianggap sah.

Akibatnya, penyerang dapat mengakses akun yang mewajibkan verifikasi PIN atau biometrik tanpa perlu lagi memiliki akses ke komputer korban setelah proses registrasi selesai.

Golden Pass-ta-key Mencuri Seluruh Passkey

Teknik ketiga, Golden Pass-ta-key, merupakan serangan dengan dampak paling besar.

Metode ini memungkinkan malware memperoleh Security Domain Secret (SDS), yaitu master key yang digunakan untuk mengenkripsi seluruh passkey yang tersinkronisasi melalui Google Password Manager.

Kunci tersebut dikirim sementara ke Chrome ketika perangkat melakukan registrasi atau proses pemulihan akses.

Awalnya, peneliti menemukan bahwa SDS muncul dalam bentuk teks biasa pada log internal FIDO di Chrome. Setelah dilaporkan, Google menghapus informasi tersebut dari log.

Meski demikian, penelitian menunjukkan bahwa SDS masih tetap dikirim ke Chrome dan sementara waktu berada di dalam memori proses browser.

Apabila malware memaksa perangkat melakukan registrasi ulang dan mengetahui pola data yang harus dicari, master key tersebut dapat diekstrak langsung dari memori.

Setelah memperoleh SDS, penyerang dapat:

• Mendekripsi seluruh passkey yang tersimpan di akun Google korban.
• Mengambil kunci privat setiap passkey.
• Memindahkan passkey ke perangkat lain.
• Login ke berbagai akun sebagai korban.

Peneliti juga memperingatkan bahwa master key tersebut berpotensi digunakan untuk mendekripsi passkey baru yang akan disinkronkan di masa mendatang. Saat ini belum tersedia mekanisme untuk mengganti ataupun mencabut Security Domain Secret, sehingga seluruh passkey lama maupun baru tetap bergantung pada kunci yang sama.

Malware Tetap Menjadi Ancaman Terbesar

Seluruh teknik Pass-ta-key mensyaratkan bahwa malware telah lebih dulu berjalan pada komputer korban. Dengan kata lain, serangan ini bukan ancaman terhadap pengguna yang perangkatnya masih bersih dari infeksi.

Walaupun demikian, penelitian ini menunjukkan bahwa passkey bukan solusi yang sepenuhnya menghilangkan risiko apabila sistem operasi telah dikompromikan.

Para peneliti menyarankan agar pengelola situs web selalu mewajibkan sekaligus memvalidasi proses User Verification dengan benar. Selain itu, pengembang credential manager juga perlu memperketat proses registrasi perangkat baru, mekanisme pemulihan akun, serta memastikan master key tidak dapat diakses melalui memori browser.

Temuan tersebut telah dilaporkan kepada Google beserta layanan-layanan yang terdampak sebelum hasil penelitian dipublikasikan.

Sumber: Palo Alto Networks Unit 42