Pass-ta-key: Så kan skadlig kod kapa passkeys i Google Password Manager
Den 3 augusti 2026 beskrev Palo Alto Networks Unit 42 tre attackmetoder – Pass ta key, Silver Pass ta key och Golden Pass ta key – som kan utnyttja passkeys i Google Password Manager på redan infekterade Windowsdatore... Angreppen knäcker inte WebAuthn eller FIDO2 kryptografin.
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
Den 3 augusti 2026 beskrev Palo Alto Networks Unit 42 tre attackmetoder – Pass ta key, Silver Pass ta key och Golden Pass ta key – som kan utnyttja passkeys i Google Password Manager på redan infekterade Windowsdatore...
Angreppen knäcker inte WebAuthn eller FIDO2 kryptografin. I stället utnyttjar de brister i Chromes molnautentisering, enhetsregistrering och hur vissa webbplatser kontrollerar användarverifiering [2][7].
Viktiga motåtgärder är att registrera en fysisk säkerhetsnyckel, aktivera Googles Advanced Protection Program, granska enhetslistan regelbundet och återställa alla inloggningsuppgifter efter en infostealer infektion [2].
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Den 3 augusti 2026 offentliggjorde Palo Alto Networks säkerhetsteam Unit 42 tre attackmetoder – Pass-ta-key, Silver Pass-ta-key och Golden Pass-ta-key. De gör det möjligt för skadlig kod som redan körs med vanliga användarrättigheter på en komprometterad Windowsdator att i tysthet kapa konton som skyddas av passkeys i Google Password Manager i Chrome .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pass-ta-key: Så kan skadlig kod kapa passkeys i Google Password Manager"?
Den 3 augusti 2026 beskrev Palo Alto Networks Unit 42 tre attackmetoder – Pass ta key, Silver Pass ta key och Golden Pass ta key – som kan utnyttja passkeys i Google Password Manager på redan infekterade Windowsdatore...
What are the key points to validate first?
Den 3 augusti 2026 beskrev Palo Alto Networks Unit 42 tre attackmetoder – Pass ta key, Silver Pass ta key och Golden Pass ta key – som kan utnyttja passkeys i Google Password Manager på redan infekterade Windowsdatore... Angreppen knäcker inte WebAuthn eller FIDO2 kryptografin. I stället utnyttjar de brister i Chromes molnautentisering, enhetsregistrering och hur vissa webbplatser kontrollerar användarverifiering [2][7].
What should I do next in practice?
Viktiga motåtgärder är att registrera en fysisk säkerhetsnyckel, aktivera Googles Advanced Protection Program, granska enhetslistan regelbundet och återställa alla inloggningsuppgifter efter en infostealer infektion [2].
Det viktiga sammanhanget är att angreppen inte bryter mot den grundläggande kryptografin i WebAuthn eller FIDO2. I stället angriper de implementationen: hur Chrome litar på enheten, hur en enhet registreras på nytt och hur Google Password Managers molnautentisering hanterar synkroniserade nycklar .
Tre attackvägar – från kringgång till total kapning
1. Pass-ta-key: en giltig inloggning utan biometrikontroll
I den grundläggande attacken hämtar skadeprogrammet Chromes TPM-skyddade enhetsidentitetsnyckel från den lokala filen passkey_enclave_state. Därefter används legitima Windows-anrop via CNG, Windows Cryptography API, för att signera angriparstyrda förfrågningar.
Resultatet blir en giltig WebAuthn-bekräftelse utan att offret behöver visa fingeravtryck, ange PIN-kod eller godkänna något på skärmen. Metoden fungerar dock bara mot tjänster som inte kontrollerar om flaggan User Verified (UV) faktiskt är satt i autentiseringsdatan .
Det som utnyttjas: Molnautentiseringens förtroende för en lokalt lagrad enhetsnyckel – samt att vissa webbplatser inte tvingar igenom kontrollen av användarverifiering.
2. Silver Pass-ta-key: angriparen registrerar sin egen verifieringsnyckel
Silver-varianten kringgår även webbplatser som kräver användarverifiering. Angriparen raderar eller gör filen passkey_enclave_state ogiltig, vilket tvingar Chrome att registrera enheten på nytt.
Under denna ominregistrering skapar Chrome tillfälligt en UV-nyckel i ett fördröjt flöde. Angriparen kan då registrera en egen UV-nyckel. Eftersom Googles molnautentisering inte kontrollerar att den nya nyckeln har giltig attestering kan angriparen skapa autentiseringar där UV-flaggan är satt till 1 – även för webbplatser som kräver användarverifiering .
Till skillnad från den första metoden kan angriparen sedan få varaktig åtkomst från sin egen dator. Offrets Windowsdator behöver inte längre vara uppkopplad.
Det som utnyttjas: Att attestering inte valideras vid ominregistrering av enheten och att enclave-filen kan raderas utan tillräckligt skydd.
3. Golden Pass-ta-key: masterhemligheten kan ge åtkomst till allt
Golden Pass-ta-key använder samma ominregistreringsflöde, men går ett steg längre. Genom att dumpa Chromes processminne kan angriparen få fram Security Domain Secret (SDS) – en symmetrisk nyckel på 32 byte som krypterar samtliga synkroniserade passkeys i offrets Google-konto.
Med SDS kan angriparen dekryptera både befintliga och framtida privata passkey-nycklar som synkroniseras till kontot. Det kan i praktiken innebära fullständig övertagning av alla tjänster som skyddas av dessa passkeys .
Google hade tidigare dessutom loggat SDS i klartext i Chromes interna vy chrome://device-log/FIDO. Den uppgiften har tagits bort efter Unit 42:s rapport, men problemet med att hemligheten kan exponeras i minnet kvarstår .
Det som utnyttjas: Att SDS finns i klartext i Chromes processminne under enhetens registreringsflöde.
Vilka webbplatser påverkas?
Den enklaste Pass-ta-key-attacken kan fungera mot alla webbplatser som inte validerar UV-flaggan på serversidan. Unit 42 pekade ut eBay som ett exempel på en tjänst där kontrollen saknades. eBay har sedan dess åtgärdat problemet .
Forskarna uppgav samtidigt att ett förvånansvärt stort antal webbplatser begär userVerification: "required" när en passkey registreras, men aldrig kontrollerar den UV-bit som returneras vid inloggning . Det innebär att en inställning som ser säker ut inte alltid verkligen tillämpas.
Vad händer om SDS stjäls?
SDS fungerar som en huvudnyckel för de synkroniserade passkeys som hör till Google-kontot. En stulen SDS innebär bland annat att:
alla befintliga privata passkey-nycklar kan dekrypteras, liksom nya nycklar som synkroniseras senare
angriparen kan logga in på passkey-skyddade konton, inklusive Gmail, utan ytterligare interaktion från offret
åtkomsten kan spridas vidare, eftersom ett kapat Gmail-konto kan användas för att återställa lösenord till andra tjänster
det saknas en inbyggd funktion för att rotera SDS – Google erbjuder inget sätt för användaren att skapa en ny sådan nyckel
Det sista innebär att en komprometterad SDS inte enkelt kan bytas ut på samma sätt som ett lösenord.
Så kan användare minska risken
Utifrån Unit 42:s resultat rekommenderas följande:
Registrera minst en fysisk säkerhetsnyckel, exempelvis en YubiKey, som komplement till den synkroniserade passkeyn. Enhetsbundna autentiseringsuppgifter synkroniseras inte till molnet, lagras inte i Chromes enclave-tillstånd och kan inte läsas från processminnet .
Aktivera Googles Advanced Protection Program om kontot tillhör en högriskanvändare, till exempel en journalist, företagsledare, aktivist eller administratör. Programmet kräver säkerhetsnycklar eller enhetsbundna passkeys och stärker återställningsprocessen .
Kontrollera listan över enheter och sessioner i Google-kontot varje månad och ta bort sådant du inte känner igen .
Betrakta en infostealer-infektion som en fullständig kompromettering av inloggningsuppgifter. Efter återställning bör datorn byggas om och alla passkeys registreras på nytt från en ren enhet .
Tjänsteleverantörer måste kontrollera UV-flaggan på serversidan och använda userVerification: "required", inte "preferred", för känsliga åtgärder .
Aktuell status
När uppgifterna publicerades den 3 augusti 2026 hade ingen CVE tilldelats. Google hade inte heller offentligt bekräftat om Silver- eller Golden-metoderna skulle åtgärdas direkt . Alla tre attackvägarna förutsätter att skadlig kod redan körs på den aktuella Windowsdatorn. En ren och ouppkopplad dator blir därför inte automatiskt sårbar bara för att kontot använder synkroniserade passkeys .
9to5google.comGoogle Password Manager passkeys could be at risk with new 'Pass-ta-key' attack
