「パスキーは万能ではない」Googleパスワードマネージャーに3種の突破攻撃「Pass-ta-key」

Chromeの「Google パスワードマネージャー」に保存した同期パスキーを、Windows端末に潜むマルウェアが生体認証やPIN入力なしに乗っ取れる——そんな研究結果を、米Palo Alto Networksの脅威研究部門Unit 42が8月3日に公表した。攻撃手法の名は「Pass-ta-key」。パスワードレス認証の安全神話に一石を投じる内容だ。

3段階の攻撃、最終形は秘密鍵の総取り #

研究チームが示したのは、難易度と被害規模が異なる3つの手口だ。

基本形の「Pass-ta-key」は、Chromeが扱うデバイス識別鍵をTPM(セキュリティチップ)に署名させ、指紋もPIN入力もないままログイン応答を偽造する。「Silver」は端末を再登録状態に戻して攻撃者側の検証鍵を割り込ませ、被害者PCをオフラインにしても別端末から認証を継続できるようにする。最も深刻な「Golden」は、同期パスキーの復号に使う32バイトの共有鍵「Security Domain Secret」自体をChromeのメモリから読み取って奪取する。これが漏れれば、被害者のGoogleアカウントに紐づく全パスキーの秘密鍵が復元されてしまう。

フィッシング耐性の先にある「エンドポイント」の壁 #

いずれの手口も、攻撃の大前提はWindows端末がマルウェアに既感染していることだ。パスキーは「フィッシングに強い」認証として設計されたが、端末そのものが攻撃者の制御下にあれば、認証方式を問わず突破されるというセキュリティの基本原則を改めて突きつけた格好といえる。

侵入口を塞ぐだけでなく、侵入後にマルウェアが認証情報へたどり着く経路を断つエンドポイント対策の重要性が、パスキー普及期にこそ問われている。