Pass-ta-key saldırıları, Google Password Manager'daki passkey'leri hedef alıyor
Palo Alto Networks'ün Unit 42 ekibi, 3 Ağustos 2026'da Google Password Manager'ın Chrome'daki senkronize passkey'lerini hedefleyen üç saldırı tekniğini açıkladı [2][3][7]. Saldırılar WebAuthn veya FIDO2 şifrelemesini kırmıyor; Chrome'un bulut kimlik doğrulayıcısındaki ve cihaz tanımlama süreçlerindeki uygulama açıkl...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Palo Alto Networks'ün Unit 42 ekibi, 3 Ağustos 2026'da Google Password Manager'ın Chrome'daki senkronize passkey'lerini hedefleyen üç saldırı tekniğini açıkladı [2][3][7].
Saldırılar WebAuthn veya FIDO2 şifrelemesini kırmıyor; Chrome'un bulut kimlik doğrulayıcısındaki ve cihaz tanımlama süreçlerindeki uygulama açıklarından yararlanıyor [2][7].
En ağır senaryo olan Golden Pass ta key, tüm senkronize passkey'leri şifreleyen 32 baytlık SDS anahtarının ele geçirilmesine yol açabiliyor [2][3][7].
Donanım güvenlik anahtarı kullanmak, Google'ın Gelişmiş Koruma Programı'nı etkinleştirmek ve kötü amaçlı yazılım bulaşmasını tam kimlik bilgisi sıfırlama olayı olarak değerlendirmek öneriliyor [2].
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Palo Alto Networks'ün siber güvenlik araştırma birimi Unit 42, 3 Ağustos 2026'da Pass-ta-key, Silver Pass-ta-key ve Golden Pass-ta-key adını verdiği üç saldırı tekniğini açıkladı. Bu yöntemler, standart kullanıcı yetkileriyle çalışan kötü amaçlı yazılımların, Windows bilgisayarlarda Chrome üzerinden Google Password Manager'a senkronize edilen passkey'lerle korunan hesapları sessizce ele geçirmesine izin verebiliyor .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pass-ta-key saldırıları, Google Password Manager'daki passkey'leri hedef alıyor"?
Palo Alto Networks'ün Unit 42 ekibi, 3 Ağustos 2026'da Google Password Manager'ın Chrome'daki senkronize passkey'lerini hedefleyen üç saldırı tekniğini açıkladı [2][3][7].
What are the key points to validate first?
Palo Alto Networks'ün Unit 42 ekibi, 3 Ağustos 2026'da Google Password Manager'ın Chrome'daki senkronize passkey'lerini hedefleyen üç saldırı tekniğini açıkladı [2][3][7]. Saldırılar WebAuthn veya FIDO2 şifrelemesini kırmıyor; Chrome'un bulut kimlik doğrulayıcısındaki ve cihaz tanımlama süreçlerindeki uygulama açıklarından yararlanıyor [2][7].
What should I do next in practice?
En ağır senaryo olan Golden Pass ta key, tüm senkronize passkey'leri şifreleyen 32 baytlık SDS anahtarının ele geçirilmesine yol açabiliyor [2][3][7].
Buradaki kritik ayrıntı şu: Saldırılar WebAuthn veya FIDO2'nin temel kriptografisini kırmıyor. Bunun yerine Chrome'un bulut kimlik doğrulayıcısında, cihazın yeniden tanıtılma sürecinde ve passkey senkronizasyonunda bulunan uygulama ve tasarım zayıflıklarını hedefliyor . Tüm senaryoların çalışabilmesi için Windows cihazda kötü amaçlı yazılımın önceden çalışıyor olması gerekiyor.
Üç saldırı tekniği nasıl çalışıyor?
1. Pass-ta-key: Kullanıcı doğrulaması olmadan geçerli kimlik doğrulama
Temel saldırı yöntemi olan Pass-ta-key, Chrome'un yerel passkey_enclave_state dosyasındaki TPM ile korunan cihaz kimliği anahtarını ele geçiriyor. Kötü amaçlı yazılım, bu anahtarı Windows'un meşru CNG API çağrıları üzerinden kullanarak saldırganın kontrol ettiği istekleri imzalatabiliyor.
Böylece kurbanın ekranında biyometri veya PIN istemi görünmeden geçerli bir WebAuthn doğrulama yanıtı, yani assertion, üretilebiliyor. Ancak saldırı yalnızca sunucu tarafında kimlik doğrulama verisindeki User Verified (UV) bayrağını kontrol etmeyen hizmetlerde başarılı oluyor .
Yararlanılan açıklar: Bulut kimlik doğrulayıcısının yerel olarak saklanan cihaz kimliği anahtarına güvenmesi ve bazı internet sitelerinin kullanıcı doğrulamasını zorunlu kılmaması.
Silver Pass-ta-key, UV kontrolünü uygulayan siteleri de hedef alabiliyor. Saldırgan, yerel passkey_enclave_state dosyasını silerek veya geçersiz hâle getirerek Chrome'u cihazı yeniden tanımlamaya zorluyor.
Yeniden tanımlama sırasında Chrome, kullanıcı doğrulama anahtarını kısa bir süreliğine ertelenmiş bir süreçte oluşturuyor. Saldırgan, bu aralıkta kendi UV anahtarını kaydedebiliyor. Google'ın bulut kimlik doğrulayıcısı yeni anahtarın gerçekten güvenilir bir kaynaktan geldiğini doğrulamadığı için, bu anahtarla imzalanan yanıtlar UV bayrağını 1 olarak taşıyor. Böylece kullanıcı doğrulamasını zorunlu tutan sitelerde bile kontrol aşılabiliyor .
Bu yöntemle saldırgan, kendi bilgisayarından kalıcı ve yeniden kullanılabilir erişim elde edebiliyor; sonrasında kurbanın cihazının çevrim içi kalması gerekmiyor.
Yararlanılan açıklar: Cihaz yeniden tanıtılırken attestation doğrulamasının yapılmaması ve enclave durum dosyasının herhangi bir koruma olmadan silinebilmesi.
3. Golden Pass-ta-key: Senkronize passkey'lerin anahtarını ele geçirme
En kritik yöntem olan Golden Pass-ta-key, Silver Pass-ta-key'deki yeniden tanıtma sürecini tetikledikten sonra Chrome işleminin belleğini inceliyor. Amaç, Google hesabındaki senkronize passkey'leri şifreleyen 32 baytlık simetrik anahtar olan Security Domain Secret'ı (SDS) elde etmek.
SDS ele geçirilirse saldırgan, hesaptaki mevcut senkronize passkey özel anahtarlarının tamamını çözebiliyor. Daha sonra hesaba senkronize edilen yeni passkey'ler de okunabilir durumda oluyor . Bu, söz konusu passkey'lerle korunan hizmetlerde kapsamlı hesap ele geçirme riski yaratıyor.
Unit 42'nin bildiriminden önce Google'ın SDS'yi Chrome'un chrome://device-log/FIDO çıktısına düz metin olarak yazdığı tespit edilmişti. Google bu kaydı sonrasında kaldırdı; ancak SDS'nin Chrome işleminin belleğinde açığa çıkabilmesiyle ilgili sorun devam ediyor .
Yararlanılan açık: SDS'nin cihaz tanıtma süreci sırasında Chrome'un işlem belleğinde düz metin olarak bulunması.
Hangi siteler etkilendi?
Temel Pass-ta-key saldırısı, UV bayrağını doğrulamayan tüm hizmet sağlayıcılarını etkileyebiliyor. Unit 42, kayıt sırasında userVerification: "required" isteyen ancak geri dönen UV bitini kontrol etmeyen sitelere örnek olarak eBay'i gösterdi. eBay daha sonra bu kontrolü düzeltti .
Araştırmacılar, kayıt aşamasında kullanıcı doğrulamasını zorunlu isteyen ancak kimlik doğrulama sırasında dönen UV değerini gerçekten doğrulamayan site sayısının beklenenden fazla olduğunu belirtti .
SDS çalınırsa risk ne kadar büyük?
SDS, kullanıcının Google hesabındaki senkronize passkey'ler için ana anahtar görevi görüyor. Ele geçirilmesi şu sonuçlara yol açabiliyor:
Hesaptaki tüm mevcut senkronize passkey özel anahtarları çözülebiliyor; sonradan senkronize edilen yeni anahtarlar da okunabiliyor .
Saldırganlar, kurbanın ek bir işlem yapmasına gerek kalmadan Gmail dahil passkey ile korunan hesaplarda oturum açabiliyor .
Gmail'e erişim, başka hizmetlerdeki parolaların sıfırlanması için kullanılabildiğinden saldırının etkisi doğrudan hedeflenen hesapların çok ötesine yayılabiliyor .
SDS'yi değiştirmek için kullanıcıların kullanabileceği yerleşik bir anahtar yenileme mekanizması bulunmuyor; Google yeni bir SDS oluşturma seçeneği sunmuyor .
Kullanıcılar ve hizmet sağlayıcıları ne yapmalı?
Unit 42'nin bulgularına göre öne çıkan önlemler şöyle:
Senkronize passkey'in yanında en az bir donanım güvenlik anahtarı kaydedin. YubiKey gibi cihazla bağlı kimlik bilgileri buluta senkronize edilmez, Chrome'un enclave durumuna girmez ve işlem belleğinden okunamaz .
Yüksek riskli kullanıcılar için Google'ın Gelişmiş Koruma Programı'nı etkinleştirin. Gazeteciler, yöneticiler, aktivistler ve sistem yöneticileri gibi kullanıcılar için program; güvenlik anahtarlarını veya cihaza bağlı passkey'leri zorunlu kılar ve hesap kurtarma süreçlerini sıkılaştırır .
Google hesabınızdaki cihaz listesini ayda en az bir kez denetleyin ve tanımadığınız oturumları kaldırın .
Bilgi hırsızı türü bir kötü amaçlı yazılım bulaşmasını tam kimlik bilgisi sıfırlama olayı olarak değerlendirin. Kurtarma sonrasında bilgisayarı temiz bir kurulumla yeniden oluşturun ve tüm passkey'leri güvenilir, temiz bir cihazdan yeniden kaydedin .
Hizmet sağlayıcıları UV bayrağını sunucu tarafında doğrulamalı. Hassas işlemlerde userVerification değeri "preferred" yerine "required" olarak ayarlanmalı ve dönen UV biti mutlaka kontrol edilmeli .
Son durum
3 Ağustos 2026 itibarıyla bu bulgular için herhangi bir CVE numarası atanmamıştı. Google ayrıca Silver Pass-ta-key ve Golden Pass-ta-key yöntemlerini doğrudan giderip gidermeyeceğini kamuoyuna açıklamamıştı .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
