Pass-ta-key-aanvallen laten zien hoe malware Google-passkeys kan overnemen
Palo Alto Networks’ Unit 42 maakte op 3 augustus 2026 drie aanvalstechnieken bekend: Pass ta key, Silver Pass ta key en Golden Pass ta key. De aanvallen breken de cryptografie van WebAuthn of FIDO2 niet.
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Palo Alto Networks’ Unit 42 maakte op 3 augustus 2026 drie aanvalstechnieken bekend: Pass ta key, Silver Pass ta key en Golden Pass ta key.
De aanvallen breken de cryptografie van WebAuthn of FIDO2 niet. Ze maken misbruik van tekortkomingen in Chrome’s cloud authenticator, apparaatvertrouwen en het proces waarmee apparaten opnieuw worden aangemeld [2][7].
Bescherming begint volgens de onderzoekers met een hardwarematige beveiligingssleutel, Google’s Advanced Protection Program, regelmatige controle van apparaten en een volledige reset na een infostealerbesmetting [2].
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Malware die al actief is op een Windows-pc kan volgens Palo Alto Networks’ Unit 42 passkey-beveiligde accounts stilletjes overnemen. De onderzoekers beschrijven drie aanvalsroutes — Pass-ta-key, Silver Pass-ta-key en Golden Pass-ta-key — die Google Password Manager in Chrome treffen .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pass-ta-key-aanvallen laten zien hoe malware Google-passkeys kan overnemen"?
Palo Alto Networks’ Unit 42 maakte op 3 augustus 2026 drie aanvalstechnieken bekend: Pass ta key, Silver Pass ta key en Golden Pass ta key.
What are the key points to validate first?
Palo Alto Networks’ Unit 42 maakte op 3 augustus 2026 drie aanvalstechnieken bekend: Pass ta key, Silver Pass ta key en Golden Pass ta key. De aanvallen breken de cryptografie van WebAuthn of FIDO2 niet. Ze maken misbruik van tekortkomingen in Chrome’s cloud authenticator, apparaatvertrouwen en het proces waarmee apparaten opnieuw worden aangemeld [2][7].
What should I do next in practice?
Bescherming begint volgens de onderzoekers met een hardwarematige beveiligingssleutel, Google’s Advanced Protection Program, regelmatige controle van apparaten en een volledige reset na een infostealerbesmetting [2].
Daarbij wordt niet rechtstreeks ingebroken op de cryptografie van WebAuthn of FIDO2. De aanvallen richten zich op de manier waarop Chrome en Google’s cloud-authenticator apparaatidentiteiten, gebruikersverificatie en gesynchroniseerde passkeys afhandelen . Alle drie de scenario’s vereisen dat er al malware op de Windows-computer draait, maar beheerdersrechten zijn niet nodig .
Drie aanvalsroutes, drie verschillende zwakke plekken
1. Pass-ta-key: een vertrouwd apparaat nabootsen
Bij de basisvariant haalt malware de door de TPM omhulde apparaatidentiteitssleutel van Chrome uit het lokale bestand passkey_enclave_state. Via legitieme Windows CNG-aanroepen — CNG staat voor Cryptography Next Generation — kan de malware vervolgens verzoeken van de aanvaller laten ondertekenen.
Zo ontstaat een geldige WebAuthn-assertie zonder dat op het scherm van het slachtoffer een vingerafdruk, pincode of andere bevestiging verschijnt. Deze aanval werkt bij websites die de User Verified-vlag (UV) in de authenticatorgegevens niet controleren .
Wat wordt misbruikt? Het vertrouwen van de cloud-authenticator in een lokaal opgeslagen apparaatidentiteit én het feit dat sommige websites gebruikersverificatie niet daadwerkelijk afdwingen.
De tweede variant verwijdert of maakt het lokale bestand passkey_enclave_state ongeldig. Chrome moet het apparaat daardoor opnieuw aanmelden. Tijdens dat proces wordt de sleutel voor gebruikersverificatie kortstondig aangemaakt in een uitgesteld proces. De aanvaller kan dat moment gebruiken om een eigen UV-sleutel te registreren.
Volgens Unit 42 controleert Google’s cloud-authenticator bij deze nieuwe sleutel de attestation — de bewijsinformatie dat een sleutel door het juiste apparaat of de juiste authenticator is aangemaakt — niet. Daardoor kunnen assertions met de UV-vlag op 1 worden ondertekend. Zelfs websites die gebruikersverificatie afdwingen, kunnen de aanval dan accepteren .
De aanvaller houdt bovendien blijvende toegang vanaf een eigen computer. De Windows-pc van het slachtoffer hoeft daarna niet meer online te zijn.
Wat wordt misbruikt? Het ontbreken van attestation-controle tijdens het opnieuw aanmelden van een apparaat en het feit dat het enclave-statusbestand zonder extra bescherming kan worden verwijderd.
3. Golden Pass-ta-key: de hoofdsleutel buitmaken
De zwaarste variant gebruikt dezelfde procedure voor het opnieuw aanmelden van het apparaat, maar leest daarna het geheugen van het Chrome-proces uit. Daarmee kan de aanvaller de Security Domain Secret (SDS) bemachtigen: een symmetrische sleutel van 32 bytes die alle gesynchroniseerde passkey-privésleutels in het Google-account versleutelt .
Met de SDS kunnen bestaande én later gesynchroniseerde passkeys worden ontsleuteld. Dat maakt een volledige overname mogelijk van alle diensten die door die passkeys worden beschermd.
Google schreef de SDS eerder in platte tekst weg naar de Chrome-uitvoer chrome://device-log/FIDO. Die registratie is na de melding van Unit 42 verwijderd, maar het probleem waarbij de SDS tijdens het onboardingproces in het geheugen aanwezig is, bleef volgens de onderzoekers bestaan .
Wat wordt misbruikt? De aanwezigheid van de SDS in onversleutelde vorm in het geheugen van het Chrome-proces tijdens het aanmelden van het apparaat.
Welke websites zijn getroffen?
De basisvariant van Pass-ta-key kan werken tegen elke website die de UV-vlag niet controleert. Unit 42 noemde eBay als voorbeeld van een dienst die deze controle niet afdwong; eBay heeft dat inmiddels aangepast .
De onderzoekers merkten op dat een verrassend groot aantal websites bij de registratie wel userVerification: "required" opvraagt, maar de teruggegeven UV-bit bij het inloggen niet controleert . Voor gevoelige handelingen moet die controle aan de serverzijde plaatsvinden; alleen een instelling in de browseraanvraag is niet genoeg.
Wat betekent een gestolen SDS?
De SDS werkt als een hoofdsleutel voor de gesynchroniseerde passkeys in een Google-account. Als een aanvaller deze sleutel steelt:
kunnen alle bestaande gesynchroniseerde passkey-privésleutels worden ontsleuteld, evenals nieuwe passkeys die later worden gesynchroniseerd ;
kan de aanvaller inloggen op elk passkey-beveiligd account, waaronder Gmail, zonder verdere actie van het slachtoffer ;
kan de toegang tot Gmail worden gebruikt om wachtwoorden van andere gekoppelde diensten opnieuw in te stellen, waardoor de gevolgen verder reiken dan de direct getroffen accounts ;
bestaat er geen ingebouwde manier om de SDS te vervangen: Google biedt gebruikers geen optie om een nieuwe SDS aan te maken .
Wat kunnen gebruikers en websites doen?
Unit 42 en de berichtgeving over het onderzoek wijzen op de volgende maatregelen:
Registreer minstens één hardwarematige beveiligingssleutel, bijvoorbeeld een YubiKey, naast de gesynchroniseerde passkey. Apparaatgebonden inloggegevens worden niet naar de cloud gesynchroniseerd, komen niet in de enclave-status van Chrome terecht en kunnen niet op dezelfde manier uit het geheugen worden gelezen .
Schakel Google’s Advanced Protection Program in als je een hoog risico loopt, bijvoorbeeld als journalist, bestuurder, activist of beheerder. Het programma vereist beveiligingssleutels of apparaatgebonden passkeys en maakt herstelprocedures voor accounts strenger .
Controleer maandelijks de apparatenlijst van je Google-account en verwijder onbekende sessies .
Behandel een infostealerbesmetting als een volledige reset van je inloggegevens. Herstel het account, bouw de computer opnieuw op en registreer alle passkeys opnieuw vanaf een schoon apparaat .
Controleer als website-eigenaar de UV-vlag op de server. Gebruik voor gevoelige handelingen userVerification: "required" in plaats van "preferred", en controleer vervolgens of de gebruiker daadwerkelijk is geverifieerd .
Huidige stand van zaken
Op het moment van publicatie, 3 augustus 2026, was er geen CVE-nummer aan de kwetsbaarheden toegekend. Ook had Google niet publiek bevestigd of de Silver- of Golden-route rechtstreeks zou worden verholpen .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
