Dacă ai activat passkey-urile pentru contul Google, probabil ai auzit argumentul: nu ai nicio parolă de introdus, nimic de pescuit și nimic care să stea într-o bază de date așteptând să fie divulgat. Argumentul este în mare parte adevărat. Însă cercetătorii au descris acum o tehnică — poreclită „Pass-ta-key” — care arată că programele malware de pe propriul dispozitiv pot accesa în continuare passkey-urile stocate în Google Password Manager. Merită să înțelegi exact ce înseamnă și ce nu înseamnă acest lucru, deoarece soluția nu este „încetează să folosești passkey-uri”.

O recapitulare rapidă a modului în care funcționează, de fapt, passkey-urile

Un passkey este o pereche de chei, nu un secret pe care îl introduci. Partea privată nu ar trebui să părăsească niciodată dispozitivul; site-ul sau aplicația vede doar partea publică și o semnătură care dovedește că deții cheia privată. Asta face passkey-urile rezistente la phishingul clasic — nu există parolă sau cod de unică folosință pe care o pagină falsă de autentificare să le poată fura, deoarece cheia privată nu este ceva ce poți fi păcălit să introduci undeva.

Problema este cuvântul „sincronizate”. Pentru ca un passkey să funcționeze pe telefon, laptop și tabletă, Google Password Manager criptează și sincronizează passkey-urile prin contul Google, în loc să le blocheze pe fiecare într-un singur dispozitiv fizic. Această comoditate înseamnă și o suprafață de atac mai mare decât în cazul unui passkey legat fizic de o singură cheie de securitate sau de un singur dispozitiv.

La ce se referă, de fapt, cercetarea Pass-ta-key

Potrivit relatărilor despre această cercetare (prin Malwarebytes), concluzia este că programele malware care rulează pe un dispozitiv unde Google Password Manager este deblocat pot prelua conturile protejate prin passkey — nu prin spargerea criptografiei cu cheie publică, ci prin exploatarea stratului software care stochează, deblochează și sincronizează cheile. Cu alte cuvinte: matematica din spatele passkey-urilor nu a fost spartă. Ceea ce este vizat este tot ce se află în jurul matematicii — seiful local, procesul de deblocare, canalul de sincronizare.

Mecanismele tehnice precise ale lanțului de exploatare nu au fost prezentate în detaliu în informațiile publice de până acum, așa că este important să nu exagerezi și să transformi acest lucru în afirmația „passkey-urile sunt compromise”. Ceea ce este clar și se potrivește cu modul în care funcționează de obicei aceste lucruri este forma generală a riscului: dacă un program malware obține un nivel suficient de acces pe un dispozitiv care are un depozit de passkey-uri deblocat, poate acționa în numele tău în cadrul acelui depozit sau poate exporta materiale care îi permit unui atacator să se autentifice în locul tău în altă parte.

De ce acest lucru nu anulează argumentele în favoarea passkey-urilor

Este tentant să interpretezi un titlu ca acesta drept „passkey-urile au eșuat”. Nu au eșuat — au eliminat un atac specific și extrem de răspândit: phishingul de la distanță, în care un atacator aflat oriunde în lume te păcălește să introduci o parolă sau un cod de unică folosință pe un site fals. Acest atac este în continuare imposibil împotriva unui passkey real. Ceea ce ilustrează Pass-ta-key este un model de amenințare diferit și mai vechi: un atacator care are deja un cod executabil pe dispozitivul tău. Această amenințare a existat dintotdeauna și, în cazul parolelor, era probabil mai gravă — un keylogger sau un program care fură informații de pe un calculator infectat putea captura la fel de ușor o parolă introdusă și un cookie de sesiune. Passkey-urile restrâng suprafața de atac; nu elimină categoria „dispozitivul tău este compromis”.

Ce trebuie să verifici și să faci, concret

Câțiva pași concreți și verificabili, aproximativ în ordinea impactului:

  • Află care dintre passkey-urile tale sunt sincronizate și care sunt legate de dispozitiv. În Google Password Manager (passwords.google.com, la „Passkeys”), poți vedea ce este stocat și sincronizat cu contul tău. Un passkey creat și confirmat cu o cheie fizică de securitate (precum un YubiKey) pe care nu l-ai sincronizat este legat de acel dispozitiv hardware și nu este expus în același mod acestei clase de atacuri.
  • Pentru conturile tale cu cea mai mare valoare — e-mailul principal, banca, autentificarea unică pentru serviciu — preferă o cheie hardware de securitate în locul unui passkey sincronizat. Este puțin mai puțin convenabilă (ai nevoie de cheia fizică), dar nu ajunge niciodată la sincronizarea în cloud, ceea ce elimină complet această suprafață de atac pentru contul respectiv.
  • Păstrează dispozitivul în sine curat, deoarece acesta este acum adevăratul câmp de luptă. Instalează prompt actualizările pentru sistemul de operare și browser, evită instalarea aplicațiilor sau extensiilor din afara magazinelor oficiale și nu ignora alertele antivirusului sau ale soluției de securitate pentru endpoint — o infecție malware este condiția prealabilă pentru acest tip de atac, așa că igiena dispozitivului are un dublu rol.
  • Activează Advanced Protection Program de la Google dacă ești o țintă plauzibilă (jurnaliști, activiști, directori, administratori sau oricine a mai fost vizat). Programul înăsprește regulile de recuperare a contului și de autentificare, în mod special împotriva acestui tip de scenariu de preluare a contului.
  • Verifică periodic „Activitatea recentă privind securitatea” din contul Google și dispozitivele conectate și elimină tot ce nu recunoști sau nu mai folosești — inclusiv passkey-urile sincronizate vechi, aflate pe dispozitive pe care le-ai înlocuit între timp.
  • Nu renunța la metoda de autentificare de rezervă. Păstrează o metodă de recuperare (coduri de rezervă, un al doilea passkey pe un alt tip de dispozitiv) care nu depinde de același dispozitiv, pentru a nu rămâne blocat pe dinafară dacă trebuie să ștergi complet un calculator infectat.

Pe scurt: passkey-urile sunt în continuare mai bune decât parolele, iar „imposibil de pescuit” rămâne o descriere corectă a modului în care se comportă împotriva phishingului de la distanță. Pass-ta-key ne reamintește că „imposibil de pescuit” nu a însemnat niciodată „imun la un dispozitiv compromis” — iar apărarea împotriva celui de-al doilea scenariu constă în lucrurile plictisitoare: actualizează-ți dispozitivele, fii atent la programele malware și protejează-ți cele mai importante conturi cu chei legate de hardware, nu cu unele sincronizate.