Les passkeys (identifiants sans mot de passe) sont de plus en plus adoptés et recommandés, notamment parce qu’ils réduisent l’efficacité du phishing. Pourtant, une analyse récente montre que des comptes protégés par passkeys peuvent aussi être ciblés par des techniques plus subtiles.
Des chercheurs de Palo Alto Networks décrivent de nouvelles méthodes d’attaque, regroupées sous le nom « Pass-ta-key » et ses variantes. Le point central : un malware déjà présent sur un PC Windows peut exploiter la synchronisation côté navigateur pour usurper l’identité de l’utilisateur, sans demander de déverrouillage biométrique et sans exiger une interaction directe.
Pourquoi les passkeys sont considérées comme plus sûres
Les passkeys s’appuient sur une logique d’authentification moderne, conçue pour limiter le vol d’identifiants via des pages frauduleuses. Au lieu de saisir un mot de passe, l’utilisateur s’appuie sur un mécanisme cryptographique lié à son appareil et à son compte.
En pratique, ce fonctionnement a un avantage : même si un attaquant parvient à tromper l’utilisateur, la simple copie d’un secret n’est pas suffisante. C’est précisément pour cela que l’on s’attend souvent à une résistance élevée face aux scénarios classiques de phishing.
Le scénario « Pass-ta-key » : un malware déjà installé
La méthode décrite commence par une situation très concrète : le malware est déjà présent sur une machine Windows et s’exécute avec le navigateur Chrome actif.
À partir de là, l’attaquant exploite des éléments stockés localement par Chrome. Le code malveillant peut consulter la base locale de synchronisation pour identifier :
- quels comptes en ligne l’utilisateur a protégés avec des passkeys,
- les noms d’utilisateur associés,
- et des éléments de matériel chiffré liés aux informations d’authentification.
L’objectif n’est pas seulement de « lire » des données : l’attaque cherche à produire une réponse d’authentification valide qui sera acceptée par le service cloud.
Usurpation d’un appareil de confiance, sans interaction
Selon l’analyse, le malware récupère une clé d’identité d’appareil que Chrome conserve sur le disque ou en mémoire. Ensuite, il s’appuie sur les API cryptographiques Windows pour générer une signature sur la base d’un challenge reçu du service cloud d’authentification.
Ce qui rend l’approche particulièrement préoccupante, c’est l’absence de mécanismes de contrôle habituellement attendus par l’utilisateur. Les chercheurs indiquent qu’il n’y a pas de demande de biométrie, pas de déverrouillage de l’appareil et pas de recours à des privilèges élevés.
Une fois la signature produite, le service cloud considère la requête comme provenant d’un appareil de confiance. Il renvoie alors une assertion d’authentification valide, que l’attaquant transmet au site cible pour terminer la connexion.
Variante « Silver Pass-ta-key » : changer d’appareil après coup
Dans une évolution plus avancée, baptisée « Silver Pass-ta-key », le malware ne se limite pas à détourner une authentification depuis la machine infectée.
Le principe consiste à forcer Chrome à passer par un processus de ré-enregistrement d’appareil. Pendant une courte fenêtre de ce processus, le malware enregistre une clé de vérification utilisateur propre auprès du service cloud d’authentification.
Une fois l’enregistrement terminé, l’attaquant peut ensuite s’authentifier depuis une autre machine. Autrement dit, la compromission ne reste pas confinée à l’ordinateur initial : elle peut ouvrir la voie à des accès ultérieurs depuis un environnement différent.
Variante « Golden Pass-ta-key » : déverrouiller toutes les clés synchronisées
La technique présentée comme la plus sévère s’appuie sur l’extraction d’un secret maître. Les chercheurs indiquent que ce secret apparaît brièvement dans la mémoire du processus Chrome pendant le ré-enrôlement.
La conséquence est directe : en possédant ce secret, le malware peut décrypter les clés privées de toutes les passkeys synchronisées liées au compte de la victime. L’impact va plus loin que la connexion immédiate : l’attaquant pourrait aussi décrypter de futures passkeys synchronisées.
Ce niveau de contrôle augmente fortement le risque, car il transforme une compromission ponctuelle en capacité durable à accéder au compte au fil des changements.
Ce que cela signifie pour les utilisateurs et les équipes IT
Ces résultats ne remettent pas en cause l’intérêt des passkeys, mais ils rappellent une réalité clé : si un malware s’installe sur l’appareil de l’utilisateur, l’attaquant peut tenter d’exploiter la chaîne logicielle locale (ici, le navigateur et la synchronisation) pour contourner les protections attendues.
Quelques actions peuvent réduire l’exposition :
- Renforcer la sécurité de l’appareil : détection et blocage d’infections, durcissement des postes, politiques de contrôle d’exécution.
- Maintenir Chrome et les composants à jour : les mitigations annoncées par l’éditeur peuvent dépendre de versions spécifiques.
- Surveiller les signaux anormaux : connexions depuis de nouveaux appareils, activités inhabituelles sur les comptes, alertes de sécurité.
- Limiter les sessions longues lorsque c’est possible et revoir les réglages de sécurité du compte.
En parallèle, les équipes sécurité peuvent compléter leurs mesures par l’analyse des journaux et par des contrôles d’accès adaptés aux risques.
Mitigations annoncées
Les chercheurs indiquent que Google a été notifié et que des mitigations ont été déployées. Même si les détails techniques exacts ne sont pas décrits ici, cette information suggère que des ajustements côté service et/ou côté navigateur peuvent réduire la surface d’attaque.
Pour les organisations, la meilleure approche reste d’appliquer rapidement les mises à jour disponibles et de vérifier que l’environnement de synchronisation est conforme aux recommandations de sécurité.
Au-delà de cette étude : comprendre les limites
Il est facile de voir les passkeys comme une protection absolue. Pourtant, cette analyse montre que la sécurité dépend aussi de la fiabilité de l’extrémité : si l’appareil est déjà compromis, l’attaquant cherche à reproduire des étapes d’authentification légitimes.
La bonne nouvelle, c’est que la plupart des mesures préventives contre les infections (hygiène système, mises à jour, surveillance et réduction des privilèges) restent pertinentes et complémentaires à l’adoption des passkeys.
Conclusion
Les méthodes décrites par Palo Alto Networks montrent qu’un malware présent sur un poste Windows, en exploitant la synchronisation liée à passkey dans Chrome, peut produire des réponses d’authentification acceptées par le service cloud. Les variantes « Silver » et « Golden » illustrent aussi comment l’attaquant peut étendre l’accès à d’autres machines, voire déchiffrer des clés synchronisées.
Face à ce type de risque, l’enjeu est double : protéger l’appareil contre les logiciels malveillants et appliquer les mitigations déployées par les acteurs concernés. Les passkeys restent un progrès majeur, à condition de les intégrer dans une stratégie de sécurité globale.
Source: https://www.securityweek.com/new-attack-methods-enable-malware-to-hijack-passkey-protected-accounts/
