Pass‑ta‑key : comment des malwares peuvent voler vos passkeys Google malgré leur promesse de sécurité
La promesse des passkeys — ces clés cryptographiques censées remplacer les mots de passe — repose sur l’impossibilité du phishing, le non‑réutilisable et le stockage sécurisé côté utilisateur. Pourtant, des chercheurs de Palo Alto Networks ont démontré une série d’attaques préoccupantes capables d’extraire ou d’usurper des passkeys Google, à la condition qu’un malware ait déjà infecté la machine de la victime. Ces techniques, baptisées Pass‑ta‑key, Silver Pass‑ta‑key et Golden Pass‑ta‑key, exploitent des failles dans le gestionnaire de mots de passe de Chrome et le Google Cloud Authenticator.
Principe général : une faille dans la chaîne, et tout bascule
Toutes ces attaques partent d’un prérequis simple mais critique : la présence d’un logiciel malveillant sur l’ordinateur ciblé. Une fois le système compromis, le malware explore le profil de l’utilisateur pour identifier les services où des passkeys sont utilisées, puis cible les données chiffrées et les identifiants stockés localement. À partir de là, différentes méthodes permettent soit d’usurper le dispositif légitime, soit d’extraire la clé mère de chiffrement (SDS) et donc de décoder toutes les passkeys synchronisées via le gestionnaire Chrome.
Pass‑ta‑key : usurper un dispositif de confiance via le TPM
La variante baptisée Pass‑ta‑key consiste à faire croire au Google Cloud Authenticator que la demande d’authentification provient du dispositif de la victime. Concrètement, le malware utilise la « clé d’identité » présente dans le module TPM (Trusted Platform Module) de l’ordinateur pour signer une requête d’authentification. Le Cloud Authenticator interprète alors la demande comme provenant d’un appareil de confiance et retourne une « assertion » signée — équivalente à un feu vert pour se connecter au compte Google. Ce mécanisme échoue seulement si le service exige une vérification explicite par PIN ou biométrie côté utilisateur.
Silver Pass‑ta‑key : contourner la vérification utilisateur
La technique Silver va plus loin : le malware invalide la clé de vérification existante ou supprime l’état local prouvant qu’un utilisateur a confirmé une authentification. Ensuite, il enregistre une nouvelle clé de vérification sous son contrôle. Or, Google Cloud Authenticator ne distingue pas toujours si la nouvelle clé provient d’un matériel fiable. Résultat : le serveur accepte les requêtes signées par la clé du cybercriminel comme si l’utilisateur avait effectivement saisi son PIN ou biométrie, et l’attaquant peut accéder au compte depuis un autre appareil.
Golden Pass‑ta‑key : la prise de la « master key » qui décale tout
La plus dangereuse de ces méthodes est la Golden Pass‑ta‑key. Les chercheurs ont constaté que la « security domain secret » (SDS) — la clé maîtresse utilisée pour chiffrer toutes les passkeys synchronisées via Chrome — pouvait être exposée via des logs FIDO puis récupérée depuis la mémoire du processus Chrome. Google a supprimé l’écriture de SDS dans les logs, mais la clé peut rester récupérable en mémoire si un malware y a un accès. Avec cette SDS, l’attaquant peut déchiffrer les enregistrements des passkeys, récupérer les clés privées et les transférer sur un autre système pour usurper l’identité de la victime de façon persistante. Pire : il n’existe aujourd’hui pas de mécanisme de révocation simple de SDS ; la même « master key » pourrait théoriquement permettre de décrypter de futures passkeys associées au compte.
Quels sont les facteurs aggravants ?
Que risque l’utilisateur ?
L’exploitation réussie de ces méthodes permettrait à un attaquant non seulement d’accéder ponctuellement à un compte Google, mais potentiellement d’en prendre le contrôle complet et durable. L’attaquant pourrait agir depuis un autre appareil, contourner certaines vérifications utilisateur et utiliser les passkeys volées pour se faire passer pour la victime sur de multiples services. Le risque n’est donc pas seulement ponctuel : il peut devenir systémique pour les comptes associés.
Que faire maintenant : recommandations pratiques
Responsabilités et réactions des éditeurs
Google a déjà pris des mesures pour supprimer l’écriture de SDS dans les logs, et des correctifs logiciels sont attendus pour durcir la sécurité du gestionnaire Chrome et du Cloud Authenticator. Mais la leçon est claire : la sécurité des passkeys, aussi robuste soit‑elle sur le papier, reste dépendante de la chaîne entière — du système d’exploitation en passant par la protection de la mémoire et la santé globale du poste. Les fournisseurs doivent durcir l’isolation des secrets en mémoire, améliorer la détection des comportements malveillants et offrir des moyens efficaces de révoquer les clés compromises.
Perspective : les passkeys restent utiles, mais pas infaillibles
Les passkeys représentent une avancée significative par rapport aux mots de passe classiques et réduisent fortement les risques de phishing. Néanmoins, elles ne constituent pas une panacée : la sécurité reste un jeu d’assemblage. La menace démontrée par Pass‑ta‑key rappelle que la protection des clés privées, l’intégrité des processus et la lutte contre la contamination initiale (malware) demeurent des piliers indispensables. Pour les utilisateurs et les organisations, la meilleure stratégie est donc combinée : prévention des infections, durcissement des environnements, et recours à des dispositifs matériels isolés lorsque la sécurité doit être maximale.