A Unit 42 divulgou três ataques contra as passkeys sincronizadas pelo gerenciador de senhas do Google, e a repercussão foi dura o bastante para preocupar quem migrou suas contas para passkeys porque elas eram apresentadas como a opção segura. O mais impressionante dos três extrai todas as suas passkeys sincronizadas de uma vez.
Antes de mudar qualquer coisa, vale ser preciso sobre o que foi quebrado, porque a resposta decide se trocar de gerenciador ajuda em alguma coisa. Não ajuda, e esta página explica por quê.
O que a pesquisa realmente mostra
Os três ataques compartilham um mecanismo. Numa máquina Windows já comprometida, o malware extrai a chave de identidade e então usa as APIs criptográficas padrão do Windows para assinar solicitações de autenticação exatamente como o Chrome faria. Nada é quebrado à força. O atacante toma emprestada uma relação de confiança que o PC já havia estabelecido.
- Pass-ta-key assume o controle de uma conta protegida por uma passkey sincronizada do Google, sem elevação de privilégios e sem qualquer ação sua.
- Silver Pass-ta-key engana o autenticador em nuvem do Google, fazendo-o acreditar que o dispositivo foi desbloqueado por biometria.
- Golden Pass-ta-key é o mais amplo: extrai todas as passkeys sincronizadas, num formato que pode ser compartilhado ou vendido.
O Google foi notificado, e as fraquezas estão em como o Chrome e o autenticador em nuvem lidam com a confiança no dispositivo, o cadastro, a recuperação e as credenciais sincronizadas. Essas correções chegam por atualizações que precisam de fato ser instaladas.
A parte que quase nenhum artigo conta: outro gerenciador ajuda?
Esta é a pergunta para a qual este site existe, e a resposta honesta é desconfortável: mover suas passkeys para outro gerenciador de senhas não protege você disso.
Um malware rodando sob a sua conta de usuário herda o que a sua conta pode fazer. Ele lê o que a sua sessão pode ler. Um cofre de terceiros desbloqueado nesse mesmo desktop é alcançável pelo mesmo código, por encanamentos diferentes. Trocar de cofre muda qual software guarda a credencial, não o fato de haver código hostil sendo executado como você.
Poderíamos dizer o contrário. Um guia de migração com um link de afiliado no final converteria melhor do que este parágrafo. Mas uma recomendação que não sobrevive ao modelo de ameaça não vale nada, e você descobriria isso do jeito difícil.
Há boas razões para preferir um gerenciador dedicado ao do navegador: portabilidade entre ecossistemas, compartilhamento controlado, independência de um único navegador e caminhos de exportação mais claros. Imunidade a uma máquina comprometida não está nessa lista.
O que de fato muda o resultado
Uma chave de segurança física. Numa chave FIDO2, a chave privada é gerada dentro do token e nunca sai dele. O software do computador pode pedir que a chave assine um desafio; não pode copiá-la para fora. É uma propriedade estrutural do dispositivo, não uma configuração que se possa errar.
É exatamente por isso que os ataques acima miram as passkeys sincronizadas. A sincronização é uma conveniência real e é também, por projeto, uma credencial que existe em mais de um lugar e pode ser restaurada num novo dispositivo. Tudo o que pode ser restaurado pode, em princípio, ser exfiltrado por código com acesso suficiente.
Se quiser a comparação em detalhe, nossos guias sobre Token2 contra YubiKey, Nitrokey contra YubiKey e manter uma segunda chave reserva cobrem as escolhas práticas, preço incluído.
O que fazer esta semana
Confirmar que a máquina está limpa. Todos esses ataques pressupõem malware já residente. Lentidões inexplicáveis, configurações do navegador que mudam sozinhas, ferramentas de segurança que param de atualizar: trate a varredura como o primeiro passo, não o último.
Instalar as atualizações. As do Chrome e do Windows são o caminho pelo qual as correções do fabricante chegam até você. Adiá-las é a única decisão que o mantém exposto a uma fraqueza conhecida e agora pública.
Colocar uma chave física nas contas que importam. O e-mail primeiro, porque é a via de recuperação de todo o resto. Não é preciso uma para cada conta, mas para aquelas cuja tomada arrastaria as demais.
Não migrar por pânico. É esforço que parece progresso e não muda nada nessa ameaça.
O que guardar
As passkeys continuam fazendo aquilo para que foram criadas: derrotam o phishing e o reúso de credenciais, e nenhuma página de login falsa consegue capturar algo reutilizável. O que esta pesquisa perfura é uma promessa mais ampla que elas nunca puderam cumprir: a de que uma credencial permaneceria segura numa máquina que não está.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Passkeys e códigos TOTP num cofre que você controla → NordPassPortátil entre navegadores, criptografia XChaCha20, plano gratuito. Conveniência e portabilidade, não proteção contra um PC infectado.→★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Um gestor com 2FA e passkeys integrados → NordPassGuarde TOTP e passkeys · XChaCha20 · plano gratuito→Perguntas frequentes
As passkeys guardadas no gerenciador do Google ainda são seguras?
Para aquilo que elas servem, sim. Uma passkey é um par de chaves vinculado ao domínio real do site: uma página de login falsa não captura nada reutilizável, e não existe segredo compartilhado que um site invadido possa vazar. O que a pesquisa da Unit 42 mostra é uma ameaça diferente: um programa malicioso já em execução na sua máquina Windows pode tomar emprestada a relação de confiança que aquele computador havia estabelecido. A criptografia não foi quebrada. O que falha é a suposição de que o dispositivo está limpo.
Devo mover minhas passkeys para outro gerenciador de senhas?
Isso não vai salvá-lo dessa classe de ataque, e preferimos dizer isso a lhe vender uma migração. Um malware executando sob a sua conta de usuário também alcança um gerenciador de terceiros, sobretudo enquanto ele está desbloqueado. Trocar de cofre muda qual software guarda a credencial, não o fato de haver código hostil rodando em seu nome. A razão honesta para escolher um gerenciador dedicado é a portabilidade, o compartilhamento controlado e não depender de um único navegador, não a imunidade a um PC infectado.
O que realmente protege uma passkey do malware no PC?
Uma chave de segurança física. Numa chave FIDO2 (YubiKey, Token2, Nitrokey), a chave privada é gerada dentro do token e nunca sai dele: o software do computador pode pedir que a chave assine, mas não pode copiá-la para fora. É uma diferença estrutural, não uma configuração. É também por isso que esses ataques miram as passkeys sincronizadas, que por projeto existem em mais de um lugar.
O que são Pass-ta-key, Silver e Golden Pass-ta-key?
Três ataques divulgados pela Unit 42 contra as passkeys sincronizadas pelo Google. O Pass-ta-key assume o controle de uma conta protegida por uma passkey desse tipo, sem elevação de privilégios. O Silver Pass-ta-key engana o autenticador em nuvem do Google, fazendo-o acreditar que o dispositivo foi desbloqueado por biometria. O Golden Pass-ta-key é o mais amplo: extrai de uma só vez todas as passkeys sincronizadas. Os nomes seguem o padrão dos ataques Kerberos silver ticket e golden ticket, pelo mesmo motivo: um dá uma conta, o outro dá o chaveiro inteiro.
Há algo a fazer agora mesmo?
Duas coisas, nesta ordem. Primeiro, garantir que a máquina está limpa, porque cada um desses ataques pressupõe que já há malware rodando nela: uma infecção por infostealer é o pré-requisito, não a consequência. Depois, instalar as atualizações do navegador e do sistema, já que o Google foi notificado e as correções chegam por aí. Migrar o cofre no pânico é a única ação que custa esforço sem mudar a sua exposição.
