Tấn công Pass-ta-key: Mối đe dọa mới khiến passkey Google Password Manager mất tác dụng trên Windows
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win... Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai tro...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win...
Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome, bao gồm việc một số trang web...
Các biện pháp giảm thiểu chính bao gồm đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey), bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao, kiểm tra danh sá...
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Vào ngày 3 tháng 8 năm 2026, nhóm nghiên cứu Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass-ta-key, Silver Pass-ta-key và Golden Pass-ta-key – cho phép malware đã chạy với quyền người dùng thông thường trên PC Windows bị nhiễm âm thầm chiếm quyền kiểm soát các tài khoản được bảo vệ bằng passkey được lưu trữ trong Google Password Manager trên Chrome . Không có cuộc tấn công nào phá vỡ mã hóa WebAuthn hay FIDO2; chúng khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Tấn công Pass-ta-key: Mối đe dọa mới khiến passkey Google Password Manager mất tác dụng trên Windows" là gì?
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win...
Những điểm chính cần xác nhận đầu tiên là gì?
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win... Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome, bao gồm việc một số trang web...
Tôi nên làm gì tiếp theo trong thực tế?
Các biện pháp giảm thiểu chính bao gồm đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey), bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao, kiểm tra danh sá...
Tấn công Pass-ta-key: Mối đe dọa mới khiến passkey Google Password Manager mất tác dụng trên Windows
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win... Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai tro...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win...
Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome, bao gồm việc một số trang web...
Các biện pháp giảm thiểu chính bao gồm đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey), bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao, kiểm tra danh sá...
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Vào ngày 3 tháng 8 năm 2026, nhóm nghiên cứu Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass-ta-key, Silver Pass-ta-key và Golden Pass-ta-key – cho phép malware đã chạy với quyền người dùng thông thường trên PC Windows bị nhiễm âm thầm chiếm quyền kiểm soát các tài khoản được bảo vệ bằng passkey được lưu trữ trong Google Password Manager trên Chrome . Không có cuộc tấn công nào phá vỡ mã hóa WebAuthn hay FIDO2; chúng khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Tấn công Pass-ta-key: Mối đe dọa mới khiến passkey Google Password Manager mất tác dụng trên Windows" là gì?
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win...
Những điểm chính cần xác nhận đầu tiên là gì?
Ngày 3/8/2026, nhóm Unit 42 của Palo Alto Networks đã công bố ba kỹ thuật tấn công mới – Pass ta key, Silver Pass ta key và Golden Pass ta key – cho phép malware đang chạy với quyền người dùng thông thường trên PC Win... Các cuộc tấn công không phá vỡ mã hóa WebAuthn hay FIDO2 mà khai thác các lỗ hổng triển khai trong trình xác thực đám mây (cloud authenticator) và quy trình thiết lập thiết bị của Chrome, bao gồm việc một số trang web...
Tôi nên làm gì tiếp theo trong thực tế?
Các biện pháp giảm thiểu chính bao gồm đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey), bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao, kiểm tra danh sá...
Kỹ thuật này trích xuất khóa nhận dạng thiết bị được bọc TPM (Trusted Platform Module) của Chrome từ tệp passkey_enclave_state cục bộ trên ổ đĩa và phát lại nó thông qua các lệnh gọi Windows CNG hợp pháp để ký các yêu cầu do kẻ tấn công kiểm soát. Điều này tạo ra một xác nhận WebAuthn hợp lệ mà không có bất kỳ lời nhắc sinh trắc học hoặc mã PIN nào xuất hiện trên màn hình nạn nhân. Cuộc tấn công chỉ thành công đối với các bên dựa vào (relying parties) không xác thực cờ User Verified (UV) trong dữ liệu xác thực .
Khai thác: sự tin tưởng của trình xác thực đám mây vào khóa nhận dạng thiết bị được lưu trữ cục bộ và việc một số trang web không thực thi xác minh người dùng.
Silver Pass-ta-key
Kỹ thuật này vượt qua việc thực thi xác minh người dùng bằng cách xóa hoặc vô hiệu hóa tệp passkey_enclave_state cục bộ, buộc Chrome phải thiết lập lại thiết bị. Trong quá trình thiết lập lại, Chrome tạo khóa xác minh người dùng (UV) trong một luồng trì hoãn và kẻ tấn công đăng ký khóa UV của chính họ trong cửa sổ đó. Trình xác thực đám mây của Google không xác thực chứng thực (attestation) trên khóa mới, vì vậy các xác nhận được ký bởi nó mang cờ UV được đặt thành 1, qua mặt cả các trang web thực thi xác minh người dùng. Kẻ tấn công có được quyền truy cập bền vững, có thể tái sử dụng từ máy của chúng – thiết bị của nạn nhân không cần phải trực tuyến nữa .
Khai thác: việc không có xác thực chứng thực trong quá trình thiết lập lại thiết bị và khả năng xóa tệp enclave state mà không có bất kỳ biện pháp bảo vệ nào.
Golden Pass-ta-key (Nghiêm trọng)
Kỹ thuật này kích hoạt cùng một luồng thiết lập lại, sau đó dump bộ nhớ tiến trình của Chrome để khôi phục Security Domain Secret (SDS), một khóa đối xứng 32 byte mã hóa mọi passkey đã đồng bộ trong tài khoản Google của nạn nhân. Với SDS, kẻ tấn công có thể giải mã tất cả các khóa riêng tư passkey hiện có và tương lai, cho phép chiếm toàn bộ tài khoản trên tất cả các dịch vụ được bảo vệ bởi các passkey đó. Google trước đây đã ghi SDS ở dạng văn bản thuần túy (plaintext) trong đầu ra chrome://device-log/FIDO của Chrome (đã được xóa sau khi Unit 42 tiết lộ), nhưng vấn đề lộ bộ nhớ vẫn còn .
Khai thác: SDS tồn tại ở dạng văn bản thuần túy trong bộ nhớ tiến trình của Chrome trong luồng thiết lập.
Các Trang Web Bị Ảnh Hưởng
Cuộc tấn công Pass-ta-key cơ bản hoạt động chống lại bất kỳ bên dựa vào nào không xác thực cờ UV. Unit 42 đã xác định eBay là một trong những trang web không thực thi kiểm tra này – eBay đã sửa nó . Các nhà nghiên cứu lưu ý rằng "một số lượng đáng ngạc nhiên" các trang web yêu cầu userVerification: "required" khi đăng ký nhưng không bao giờ xác minh bit UV được trả về .
Rủi Ro Khi Bị Đánh Cắp Khóa Chủ (SDS)
SDS là một bí mật 32 byte hoạt động như khóa chủ cho tất cả các passkey đã đồng bộ trong tài khoản Google của người dùng. Một SDS bị đánh cắp đồng nghĩa với:
Mọi khóa riêng tư passkey đã đồng bộ hiện có đều có thể bị giải mã và bất kỳ passkey mới nào được đồng bộ sau đó cũng có thể đọc được .
Kẻ tấn công có thể xác thực vào bất kỳ tài khoản nào được bảo vệ bằng passkey – bao gồm cả Gmail – mà không cần thêm bất kỳ tương tác nào từ nạn nhân .
Bởi vì kẻ tấn công có quyền truy cập vào Gmail có thể đặt lại mật khẩu cho các tài khoản liên quan, phạm vi ảnh hưởng vượt xa các dịch vụ bị xâm phạm trực tiếp .
Không có cơ chế tích hợp nào để xoay vòng (rotate) SDS – Google không cung cấp cách nào để người dùng tạo một SDS mới .
Các Biện Pháp Giảm Thiểu Được Khuyến Nghị
Dựa trên các phát hiện của Unit 42 và các báo cáo từ các bài viết, các biện pháp giảm thiểu chính là:
Đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey) cùng với passkey đã đồng bộ – Thông tin đăng nhập gắn với thiết bị không bao giờ đồng bộ lên đám mây, không bao giờ vào trạng thái enclave của Chrome và không thể đọc từ bộ nhớ .
Bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao (nhà báo, giám đốc điều hành, nhà hoạt động, quản trị viên) – chương trình này yêu cầu khóa bảo mật hoặc passkey gắn với thiết bị và tăng cường các đường dẫn khôi phục tài khoản .
Kiểm tra danh sách thiết bị của tài khoản Google hàng tháng và xóa mọi phiên không xác định .
Coi mọi lây nhiễm malware đánh cắp thông tin (infostealer) là sự kiện đặt lại thông tin xác thực toàn bộ – sau khi khôi phục, hãy xây dựng lại máy và đăng ký lại tất cả passkey từ một thiết bị sạch .
Các bên dựa vào phải xác thực cờ UV ở phía máy chủ và đặt userVerification thành "required" (không phải "preferred") cho các hoạt động nhạy cảm .
Tình Trạng Hiện Tại
Tại thời điểm công bố (ngày 3 tháng 8 năm 2026), chưa có CVE nào được chỉ định và Google vẫn chưa xác nhận công khai liệu các đường dẫn Silver hay Golden có được sửa trực tiếp hay không .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
Kỹ thuật này trích xuất khóa nhận dạng thiết bị được bọc TPM (Trusted Platform Module) của Chrome từ tệp passkey_enclave_state cục bộ trên ổ đĩa và phát lại nó thông qua các lệnh gọi Windows CNG hợp pháp để ký các yêu cầu do kẻ tấn công kiểm soát. Điều này tạo ra một xác nhận WebAuthn hợp lệ mà không có bất kỳ lời nhắc sinh trắc học hoặc mã PIN nào xuất hiện trên màn hình nạn nhân. Cuộc tấn công chỉ thành công đối với các bên dựa vào (relying parties) không xác thực cờ User Verified (UV) trong dữ liệu xác thực .
Khai thác: sự tin tưởng của trình xác thực đám mây vào khóa nhận dạng thiết bị được lưu trữ cục bộ và việc một số trang web không thực thi xác minh người dùng.
Silver Pass-ta-key
Kỹ thuật này vượt qua việc thực thi xác minh người dùng bằng cách xóa hoặc vô hiệu hóa tệp passkey_enclave_state cục bộ, buộc Chrome phải thiết lập lại thiết bị. Trong quá trình thiết lập lại, Chrome tạo khóa xác minh người dùng (UV) trong một luồng trì hoãn và kẻ tấn công đăng ký khóa UV của chính họ trong cửa sổ đó. Trình xác thực đám mây của Google không xác thực chứng thực (attestation) trên khóa mới, vì vậy các xác nhận được ký bởi nó mang cờ UV được đặt thành 1, qua mặt cả các trang web thực thi xác minh người dùng. Kẻ tấn công có được quyền truy cập bền vững, có thể tái sử dụng từ máy của chúng – thiết bị của nạn nhân không cần phải trực tuyến nữa .
Khai thác: việc không có xác thực chứng thực trong quá trình thiết lập lại thiết bị và khả năng xóa tệp enclave state mà không có bất kỳ biện pháp bảo vệ nào.
Golden Pass-ta-key (Nghiêm trọng)
Kỹ thuật này kích hoạt cùng một luồng thiết lập lại, sau đó dump bộ nhớ tiến trình của Chrome để khôi phục Security Domain Secret (SDS), một khóa đối xứng 32 byte mã hóa mọi passkey đã đồng bộ trong tài khoản Google của nạn nhân. Với SDS, kẻ tấn công có thể giải mã tất cả các khóa riêng tư passkey hiện có và tương lai, cho phép chiếm toàn bộ tài khoản trên tất cả các dịch vụ được bảo vệ bởi các passkey đó. Google trước đây đã ghi SDS ở dạng văn bản thuần túy (plaintext) trong đầu ra chrome://device-log/FIDO của Chrome (đã được xóa sau khi Unit 42 tiết lộ), nhưng vấn đề lộ bộ nhớ vẫn còn .
Khai thác: SDS tồn tại ở dạng văn bản thuần túy trong bộ nhớ tiến trình của Chrome trong luồng thiết lập.
Các Trang Web Bị Ảnh Hưởng
Cuộc tấn công Pass-ta-key cơ bản hoạt động chống lại bất kỳ bên dựa vào nào không xác thực cờ UV. Unit 42 đã xác định eBay là một trong những trang web không thực thi kiểm tra này – eBay đã sửa nó . Các nhà nghiên cứu lưu ý rằng "một số lượng đáng ngạc nhiên" các trang web yêu cầu userVerification: "required" khi đăng ký nhưng không bao giờ xác minh bit UV được trả về .
Rủi Ro Khi Bị Đánh Cắp Khóa Chủ (SDS)
SDS là một bí mật 32 byte hoạt động như khóa chủ cho tất cả các passkey đã đồng bộ trong tài khoản Google của người dùng. Một SDS bị đánh cắp đồng nghĩa với:
Mọi khóa riêng tư passkey đã đồng bộ hiện có đều có thể bị giải mã và bất kỳ passkey mới nào được đồng bộ sau đó cũng có thể đọc được .
Kẻ tấn công có thể xác thực vào bất kỳ tài khoản nào được bảo vệ bằng passkey – bao gồm cả Gmail – mà không cần thêm bất kỳ tương tác nào từ nạn nhân .
Bởi vì kẻ tấn công có quyền truy cập vào Gmail có thể đặt lại mật khẩu cho các tài khoản liên quan, phạm vi ảnh hưởng vượt xa các dịch vụ bị xâm phạm trực tiếp .
Không có cơ chế tích hợp nào để xoay vòng (rotate) SDS – Google không cung cấp cách nào để người dùng tạo một SDS mới .
Các Biện Pháp Giảm Thiểu Được Khuyến Nghị
Dựa trên các phát hiện của Unit 42 và các báo cáo từ các bài viết, các biện pháp giảm thiểu chính là:
Đăng ký ít nhất một khóa bảo mật phần cứng (ví dụ: YubiKey) cùng với passkey đã đồng bộ – Thông tin đăng nhập gắn với thiết bị không bao giờ đồng bộ lên đám mây, không bao giờ vào trạng thái enclave của Chrome và không thể đọc từ bộ nhớ .
Bật Chương trình Bảo vệ Nâng cao của Google (Advanced Protection Program) cho người dùng rủi ro cao (nhà báo, giám đốc điều hành, nhà hoạt động, quản trị viên) – chương trình này yêu cầu khóa bảo mật hoặc passkey gắn với thiết bị và tăng cường các đường dẫn khôi phục tài khoản .
Kiểm tra danh sách thiết bị của tài khoản Google hàng tháng và xóa mọi phiên không xác định .
Coi mọi lây nhiễm malware đánh cắp thông tin (infostealer) là sự kiện đặt lại thông tin xác thực toàn bộ – sau khi khôi phục, hãy xây dựng lại máy và đăng ký lại tất cả passkey từ một thiết bị sạch .
Các bên dựa vào phải xác thực cờ UV ở phía máy chủ và đặt userVerification thành "required" (không phải "preferred") cho các hoạt động nhạy cảm .
Tình Trạng Hiện Tại
Tại thời điểm công bố (ngày 3 tháng 8 năm 2026), chưa có CVE nào được chỉ định và Google vẫn chưa xác nhận công khai liệu các đường dẫn Silver hay Golden có được sửa trực tiếp hay không .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
