Tim peneliti keamanan dari Unit 42 Palo Alto Networks baru saja mengungkap tiga teknik serangan baru yang secara kolektif diberi nama Pass-ta-key. Serangan ini memungkinkan malware yang sudah bercokol di perangkat Windows untuk membajak passkey yang disinkronkan melalui Google Password Manager — mengambil alih akun, melewati verifikasi pengguna, hingga mengekstrak kunci privat passkey.
Passkey selama ini dianggap sebagai metode autentikasi yang jauh lebih aman dibandingkan password tradisional. Teknologi ini menggunakan kunci kriptografi yang tersimpan di perangkat pengguna, tidak bisa ditebak, tidak bisa dipakai ulang, dan sulit dicuri lewat phishing. Namun, temuan Unit 42 menunjukkan bahwa implementasi sinkronisasi passkey di Google Password Manager pada Chrome menyimpan celah yang bisa dieksploitasi begitu malware sudah berjalan di komputer korban.
Dikutip dari BleepingComputer, ketiga teknik ini tidak memecahkan kriptografi passkey itu sendiri, melainkan mengeksploitasi kelemahan dalam cara Chrome dan Google cloud authenticator menangani device trust, onboarding, recovery, dan kredensial yang disinkronkan.
Teknik 1: Pass-ta-key — Menyamar sebagai Perangkat Terpercaya
Teknik pertama, yang juga menjadi nama kolektif serangan ini, memungkinkan malware tanpa hak administrator untuk menyamar sebagai perangkat tepercaya korban. Malware menyalahgunakan kunci identitas perangkat Chrome yang didukung TPM (Trusted Platform Module) untuk menandatangani permintaan autentikasi ke Google cloud authenticator.
Karena permintaan ini ditandatangani dengan kunci dari perangkat yang sudah dipercaya, Google cloud authenticator menganggapnya sah dan mengembalikan respons autentikasi (assertion) yang bisa dipakai untuk login ke akun target. Serangan ini tidak membutuhkan interaksi pengguna, biometrik, atau bahkan unlock perangkat.
Namun, assertion yang dikembalikan menyertakan flag User Verified yang mengindikasikan apakah verifikasi biometrik atau PIN benar-benar terjadi. Jika sebuah layanan memvalidasi flag ini dengan benar, serangan akan gagal. Dalam pengujian Unit 42:
- GitHub — serangan gagal karena layanan memvalidasi flag User Verified dengan benar.
- eBay — serangan berhasil karena meskipun eBay mengharuskan user verification, mereka tidak memvalidasi flag tersebut dengan benar. eBay telah memperbaiki celah ini setelah dilaporkan.
Teknik 2: Silver Pass-ta-key — Mendaftarkan Kunci Verifikasi Palsu
Teknik kedua lebih canggih. Penyerang pertama-tama menggunakan malware di perangkat korban untuk memaksa Chrome melakukan registrasi ulang — entah dengan menginvalidasi kunci verifikasi yang sudah ada atau menghapus file lokal yang menyimpan status passkey.
Saat proses registrasi ulang berlangsung, penyerang bisa mendaftarkan kunci user-verification yang mereka kontrol. Masalahnya: Google cloud authenticator tidak memvalidasi apakah kunci baru ini benar-benar berasal dari hardware tepercaya di perangkat korban.
Begitu kunci palsu ini terdaftar, Google akan menerima permintaan yang ditandatangani dengan kunci penyerang seolah-olah korban telah membuka perangkat dengan PIN atau biometrik. Lebih parahnya lagi, setelah kunci ini terdaftar, penyerang bisa mengakses akun dari sistem lain tanpa perlu akses lebih lanjut ke komputer korban.
Teknik 3: Golden Pass-ta-key — Mencuri Master Key Seluruh Passkey
Teknik ketiga adalah yang paling parah. Malware bisa memperoleh master key (security domain secret/SDS) yang digunakan untuk mengenkripsi seluruh passkey yang disinkronkan melalui akun Google Password Manager korban.
SDS ini dikirimkan sementara ke Chrome saat perangkat mendaftar atau memulihkan akses ke akun. Unit 42 awalnya menemukan bahwa Chrome mengekspos secret ini dalam teks polos melalui log FIDO internal. Google telah menghapus secret dari log setelah dilaporkan, tetapi para peneliti mengatakan SDS masih dikirim ke Chrome dan tetap dapat diakses di process memory browser.
Dengan memaksa korban melakukan registrasi ulang dan mengetahui pola yang harus dicari, penyerang bisa mengekstrak SDS langsung dari memory. Kunci master yang dicuri ini kemudian bisa digunakan untuk:
- Mendekripsi catatan passkey yang disinkronkan
- Memulihkan kunci privat passkey korban
- Memindahkan kunci privat ke sistem lain untuk menyamar sebagai korban
- Mendekripsi passkey baru yang akan datang — karena implementasi Google saat ini dilaporkan tidak menyediakan cara untuk merotasi atau mencabut kunci master
Passkey Tetap Lebih Aman, Tapi Tidak Sempurna
Unit 42 menegaskan bahwa Passwordless Authentication berbasis passkey tetap jauh lebih aman daripada password tradisional. Namun, temuan ini membuktikan bahwa passkey tidak menghilangkan risiko yang ditimbulkan oleh malware yang sudah berjalan di perangkat yang terinfeksi.
Para peneliti memberikan beberapa rekomendasi untuk mengurangi risiko:
- Untuk pengembang web: Wajibkan dan validasi user verification dengan benar. Jangan hanya meminta flag — periksa nilainya.
- Untuk credential manager: Validasi kunci perangkat yang baru didaftarkan, perkuat proses recovery dan registrasi ulang perangkat, serta cegah master key agar tidak bisa diakses dari memory browser.
- Untuk Google: Sediakan mekanisme rotasi kunci master, validasi asal kunci saat registrasi ulang, dan pastikan SDS tidak pernah tersedia di process memory dalam bentuk yang bisa diekstraksi.
BleepingComputer telah menghubungi Google untuk meminta tanggapan atas temuan Unit 42 dan menanyakan apakah serangan-serangan ini sudah sepenuhnya ditangani, namun belum ada respons yang diterima hingga laporan ini dipublikasikan. Yang jelas, bagi pengguna keamanan data digital tetap harus menjadi prioritas — terutama saat malware sudah berhasil masuk ke perangkat.
Baca Juga: Armored Likho: APT Malware AI Serang Pemerintah
Baca Juga:
Leave a Comment