Pass-ta-key: come il malware dirotta i passkey di Google Password Manager su Windows
Il 3 agosto 2026 Unit 42 di Palo Alto Networks ha descritto tre tecniche — Pass ta key, Silver Pass ta key e Golden Pass ta key — che permettono a un malware già presente su un PC Windows di dirottare account protetti... Gli attacchi non infrangono la crittografia di WebAuthn o FIDO2: sfruttano invece debolezze nell...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
Il 3 agosto 2026 Unit 42 di Palo Alto Networks ha descritto tre tecniche — Pass ta key, Silver Pass ta key e Golden Pass ta key — che permettono a un malware già presente su un PC Windows di dirottare account protetti...
Gli attacchi non infrangono la crittografia di WebAuthn o FIDO2: sfruttano invece debolezze nell’autenticatore cloud di Chrome, nella registrazione dei dispositivi e nella verifica dell’utente da parte di alcuni siti.
Le difese consigliate includono una chiave di sicurezza hardware, il programma Advanced Protection di Google per gli utenti ad alto rischio, controlli periodici dei dispositivi connessi e la ricostruzione del PC dopo...
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Il 3 agosto 2026, l’Unit 42 di Palo Alto Networks ha reso note tre tecniche di attacco — Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key — che consentono a un malware già in esecuzione con i normali privilegi dell’utente su un PC Windows compromesso di dirottare silenziosamente gli account protetti da passkey e memorizzati in Google Password Manager tramite Chrome .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pass-ta-key: come il malware dirotta i passkey di Google Password Manager su Windows"?
Il 3 agosto 2026 Unit 42 di Palo Alto Networks ha descritto tre tecniche — Pass ta key, Silver Pass ta key e Golden Pass ta key — che permettono a un malware già presente su un PC Windows di dirottare account protetti...
What are the key points to validate first?
Il 3 agosto 2026 Unit 42 di Palo Alto Networks ha descritto tre tecniche — Pass ta key, Silver Pass ta key e Golden Pass ta key — che permettono a un malware già presente su un PC Windows di dirottare account protetti... Gli attacchi non infrangono la crittografia di WebAuthn o FIDO2: sfruttano invece debolezze nell’autenticatore cloud di Chrome, nella registrazione dei dispositivi e nella verifica dell’utente da parte di alcuni siti.
What should I do next in practice?
Le difese consigliate includono una chiave di sicurezza hardware, il programma Advanced Protection di Google per gli utenti ad alto rischio, controlli periodici dei dispositivi connessi e la ricostruzione del PC dopo...
Nessuna delle tre tecniche rompe direttamente la crittografia di WebAuthn o FIDO2. Il problema riguarda piuttosto il modo in cui l’autenticatore cloud di Chrome gestisce l’identità del dispositivo, la registrazione di nuovi dispositivi e la sincronizzazione delle chiavi . Tutti gli scenari presuppongono che il computer sia già stato infettato: un PC integro non è esposto a questi attacchi nello stesso modo.
Le tre tecniche a confronto
Pass-ta-key: l’attacco di base
In questo scenario, il malware estrae dal file locale passkey_enclave_state la chiave d’identità del dispositivo, protetta dal TPM di Chrome. Poi la riutilizza tramite le normali API CNG di Windows per firmare richieste controllate dall’attaccante.
Il risultato è un’asserzione WebAuthn valida, senza che sullo schermo della vittima compaia una richiesta di impronta, PIN o altra interazione. L’attacco funziona però solo contro i siti che non controllano il flag User Verified (UV) nei dati dell’autenticatore .
Che cosa sfrutta: la fiducia dell’autenticatore cloud in una chiave d’identità del dispositivo conservata localmente e il fatto che alcuni siti non impongano davvero la verifica dell’utente.
Silver Pass-ta-key: la registrazione di una chiave controllata dall’attaccante
La seconda tecnica aggira anche i siti che verificano il flag UV. Il malware elimina o rende inutilizzabile il file locale passkey_enclave_state, costringendo Chrome a registrare nuovamente il dispositivo.
Durante questa procedura, Chrome crea per un breve periodo la chiave di verifica dell’utente attraverso un flusso posticipato. L’attaccante sfrutta la finestra per registrare una propria chiave UV. Poiché l’autenticatore cloud di Google non verifica l’attestazione della nuova chiave, le asserzioni firmate da quest’ultima risultano accompagnate dal flag UV impostato su 1.
In questo modo anche i siti che richiedono la verifica dell’utente possono essere ingannati. L’accesso ottenuto è inoltre persistente e riutilizzabile dalla macchina dell’attaccante: il computer della vittima non deve più essere online .
Che cosa sfrutta: l’assenza di una verifica dell’attestazione durante la nuova registrazione del dispositivo e la possibilità di cancellare il file dello stato dell’enclave senza protezioni sufficienti.
Golden Pass-ta-key: il rischio più grave
La terza tecnica ripete il flusso di nuova registrazione e, successivamente, esamina la memoria del processo di Chrome per recuperare il Security Domain Secret (SDS). Si tratta di una chiave simmetrica di 32 byte usata per cifrare tutti i passkey sincronizzati nell’account Google della vittima.
Con l’SDS, l’attaccante può decifrare le chiavi private dei passkey già sincronizzati e anche quelle che verranno sincronizzate in futuro. Il risultato può essere la presa di controllo di tutti gli account protetti da quei passkey .
In precedenza Google aveva registrato l’SDS in chiaro nell’output chrome://device-log/FIDO di Chrome; questa esposizione è stata rimossa dopo la segnalazione di Unit 42. Secondo i ricercatori, tuttavia, il problema dell’esposizione del segreto nella memoria del processo rimane .
Che cosa sfrutta: la presenza dell’SDS in chiaro nella memoria di Chrome durante la procedura di registrazione del dispositivo.
Quali siti risultano coinvolti?
L’attacco Pass-ta-key di base può funzionare contro qualsiasi servizio che non controlli il flag UV. Unit 42 ha indicato eBay come esempio di sito che, al momento dell’analisi, non applicava questo controllo; eBay ha successivamente corretto il problema .
I ricercatori hanno osservato che un numero «sorprendentemente elevato» di siti imposta userVerification: "required" durante la registrazione, ma poi non verifica il bit UV restituito durante l’autenticazione . Per le operazioni sensibili, il controllo deve essere eseguito lato server e non può basarsi soltanto sull’impostazione iniziale del browser.
Che cosa succede se viene rubato l’SDS?
L’SDS funziona come una chiave principale per tutti i passkey sincronizzati nell’account Google. Se viene sottratto, le conseguenze possono includere:
la decifrazione di ogni chiave privata dei passkey già sincronizzati e di quelli aggiunti successivamente ;
l’accesso a qualsiasi account protetto da quei passkey, incluso Gmail, senza ulteriori interazioni da parte della vittima ;
la compromissione di altri servizi, perché il controllo di Gmail può permettere all’attaccante di reimpostare le password degli account collegati ;
l’assenza di un meccanismo integrato per ruotare l’SDS: Google non offre agli utenti un modo per generarne uno nuovo .
Le mitigazioni consigliate
Sulla base delle indicazioni di Unit 42 e della documentazione disponibile, le principali misure sono:
Registrare almeno una chiave di sicurezza hardware, come una YubiKey, accanto al passkey sincronizzato. Le credenziali vincolate al dispositivo non vengono sincronizzate nel cloud, non entrano nello stato dell’enclave di Chrome e non possono essere recuperate dalla memoria del browser .
Attivare il programma Advanced Protection di Google per gli utenti ad alto rischio, tra cui giornalisti, dirigenti, attivisti e amministratori. Il programma impone chiavi di sicurezza o passkey vincolati al dispositivo e rafforza le procedure di recupero dell’account .
Controllare almeno una volta al mese l’elenco dei dispositivi associati all’account Google e rimuovere sessioni o dispositivi non riconosciuti .
Considerare ogni infezione da infostealer come una compromissione completa delle credenziali. Dopo il recupero, è consigliabile ricostruire il PC da un dispositivo pulito e registrare nuovamente tutti i passkey .
Per i servizi online, verificare il flag UV lato server e usare userVerification: "required", non "preferred", per le operazioni più delicate .
Stato della situazione
Al momento della pubblicazione, il 3 agosto 2026, non era stato assegnato alcun CVE. Google non aveva inoltre confermato pubblicamente se avrebbe corretto direttamente i percorsi Silver o Golden .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
