39 нови начина да бъде заобиколен passkey

Публикувана на 4 септември матрица събира на едно място 39 документирани метода за компрометиране на passkey автентикацията — и нито един от тях не чупи криптографията на FIDO2. Обзорът, публикуван от BleepingComputer, стъпва върху изследването „Pass-the-Passkey“ на SpecterOps, представено на Black Hat USA 2026, и върху паралелни резултати на Unit 42 и на независими изследователи.

Изводът е неудобен, но точен: подписът си остава математически безупречен, докато акаунтът зад него вече е чужд.

Къде точно се къса веригата

Една passkey автентикация минава през дълга поредица от компоненти — уеб приложение, браузър, операционна система, мениджър на пароли, облачна синхронизация, мобилно устройство, Bluetooth транспорт, процедура по регистрация, система за възстановяване на достъп, help desk и накрая човекът, който натиска „Потвърди“.

Матрицата подрежда атаките точно по тези слоеве:

• Ниво на автентикация — извличане на assertion от логове, повторно възпроизвеждане (replay), инжектиране на challenge, detour replay
• Проверка на потребителя — манипулиране на user verification и user presence, заливане с prompt-и
• Интерфейс — подправяне на метаданните на приложението, spoofing на window handle, overlay върху FIDO диалога, фишинг през отдалечен работен плот
• Синхронизация и съхранение — компрометиран синхронизиран трезор, превзет облачен акаунт, мобилен малуер, root-нати устройства, зловредни разширения за браузър
• Регистрация и възстановяване — „сенчести“ passkey ключове, vishing при enrollment, записване на телефон на атакуващия, превземане през help desk, възстановяване по SIM

Снимка: SpecterOps

Windows Event Log, който подарява подписи

Най-конкретният случай е CVE-2026-34348. Windows е записвал пълните, несъкратени WebAuthn assertion отговори в Event Log — на място, достъпно за непривилегировани потребители. Атакуващ с локален достъп е можел просто да ги събере и да ги пусне повторно.

Проблемът е ставал експлоатируем заради пропуски от другата страна: Microsoft Entra ID не е проверявал дали един challenge е уникален и не се повтаря, не е обвързвал предизвикателството с конкретната сесия и не е следял брояча на подписите на автентикатора. Microsoft закърпи логването на 14 юли 2026 г., като вече отрязва полето с подписа до шест байта — достатъчно за диагностика, безполезно за replay.

Авторът на инструментите Michael Grafnetter публикува и работещ комплект в хранилището на SpecterOps в GitHub: Passkey Injector, SharpPasskeys, WebAuthn Hook през Microsoft Detours, DSInternals.Passkeys. Имплементацията като Beacon Object File засега остава непубликувана.

Google Password Manager и Windows Hello

Unit 42 показа втори вектор — атака, наречена Golden Pass-ta-key. Малуер, който вече работи на машината, може да се сдобие с 32-байтов главен ключ (Security Domain Secret) от Google Password Manager в Chrome и с него да възстанови частните ключове на синхронизираните passkey записи, без да иска ново отключване на устройство. Google премахна секрета от логовете на устройството, но той остава краткотрайно изложен по време на повторна регистрация.

Третото направление касае Windows Hello for Business: процеси с ниски права в компрометирана потребителска сесия могат да генерират нови WebAuthn assertion-и, без изобщо да се показва подкана за PIN или биометрия. Получените challenge-и в Entra остават валидни пет минути и не са вързани нито към сесия, нито към устройство.

Общото между трите: всички изискват вече компрометирана машина или сесия. Това не са отдалечени експлойти — което ги поставя в същата категория като спешно закърпения zero-day в V8 на Chrome, където първоначалният достъп е ключът към всичко останало.

И фишингът се учи от AI атаките

Паралелно Microsoft описа кампания, която показва защо passkey ключовете все пак си струват. Изследователите Noam Kochavi и Sarah Wolstencroft откриха фишинг вълна, която използва т.нар. ASCII smuggling — невидими Unicode символи от диапазона U+E0000–U+E007F, вмъкнати между буквите на финансови ключови думи:

funding  ->  fun<U+E0020>ding

За получателя думата изглежда нормално. За филтър, който търси точното съвпадение, байтовата поредица вече не съдържа думата.

Числата са внушителни: около 21 000 съобщения на 8 февруари, над 1,3 милиона на 9 февруари и пик от 2,37 милиона на 26 февруари 2026 г. Кампанията е работила само в делнични дни и е замлъквала през уикендите, разпращана през ActiveCampaign от близо 150 еднократни домейна с финансови имена и насочена към кандидати за заеми от американската Small Business Administration.

Техниката е родена като prompt injection срещу AI системи. „С по-доброто разбиране на методите от AI ерата, атакуващите може да ги адаптират за по-традиционни заплахи като фишинг и спам“, отбелязват Kochavi и Wolstencroft, цитирани от The Register. Защитата е скучна, но работи: премахвайте невидимите Unicode символи, преди да правите съвпадение по ключови думи.

Какво следва оттук

Нищо от изброеното не е аргумент да се върнете към паролите — passkey ключовете продължават да свалят драстично успеха на класическия фишинг. Аргументът е друг: „phishing-resistant“ не значи „compromise-resistant“. Ако крайната точка е превзета, атаката просто се мести един слой по-нагоре — към логовете, синхронизацията, интерфейса или човека на телефона в help desk-а.

Затова и практическите изводи са към администраторите, не към потребителите: закърпени машини, стриктна валидация на challenge от страна на сървъра, следене на брояча на подписите, контрол върху процедурите по регистрация и възстановяване, и по-строги правила за целостта на крайните устройства — посоката, в която върви и автоматичното включване на Memory Integrity в Windows 11.