Pass-ta-key: La nueva amenaza que compromete las llaves de acceso (Passkeys) sincronizadas de Google

El fin de las contraseñas no es el fin de las amenazas

Las passkeys o llaves de acceso han sido aclamadas como el sucesor definitivo de las contraseñas tradicionales. Al basarse en criptografía de clave pública y requerir verificación biométrica o un PIN local, eliminan de un plumazo riesgos como el phishing convencional o la reutilización de credenciales. Sin embargo, una reciente investigación de Unit 42 (Palo Alto Networks) ha revelado que incluso esta tecnología tiene puntos débiles cuando el dispositivo del usuario ya ha sido comprometido por malware.

Bajo el nombre colectivo de «Pass-ta-key», se han identificado tres técnicas que permiten a un atacante abusar del Gestor de Contraseñas de Google en entornos Windows para secuestrar cuentas, saltarse la verificación de usuario y extraer claves privadas.

Las tres variantes del ataque Pass-ta-key

Es fundamental entender que estos ataques no rompen la criptografía subyacente de las passkeys, sino que explotan debilidades en cómo Chrome y el autenticador en la nube de Google gestionan la confianza y la sincronización de los dispositivos.

1. Pass-ta-key (Básico): El malware, sin necesidad de privilegios de administrador, suplanta al dispositivo de confianza para solicitar una respuesta de autenticación. Aunque este método puede fallar si el servicio (como GitHub) valida correctamente el flag de «Usuario Verificado», otros servicios que no realizan esta comprobación de forma estricta pueden ser vulnerados.
2. Silver Pass-ta-key: En esta variante, el atacante registra su propia clave de verificación en el autenticador en la nube de Google. Al forzar una re-registración del dispositivo, el atacante engaña al sistema para que acepte sus propias firmas como prueba de que el usuario real ha introducido su PIN o biometría.
3. Golden Pass-ta-key: Es la técnica más severa. El malware logra obtener la «clave maestra» (Security Domain Secret) que cifra todas las passkeys sincronizadas. Una vez obtenida esta clave de la memoria del navegador, el atacante puede descifrar y exportar todas las claves privadas del usuario a otro sistema, manteniendo el acceso de forma persistente incluso si el malware original es eliminado.

¿Qué significa esto para la seguridad empresarial?

A pesar de estas vulnerabilidades, las passkeys siguen siendo significativamente más seguras que las contraseñas. El vector de ataque requiere que el dispositivo ya esté infectado con malware, lo que subraya la importancia de mantener una estrategia de defensa en profundidad.

Desde Intedya, recomendamos a las organizaciones y administradores de sistemas las siguientes medidas preventivas:

• Validación estricta: Asegurarse de que las aplicaciones y servicios web que implementan FIDO2/WebAuthn validen correctamente el flag de verificación de usuario (User Verified).
• Protección del End-point: Reforzar las soluciones EDR y antivirus para evitar la ejecución inicial de malware que es el requisito previo para estos ataques.
• Actualización de Navegadores: Mantener Google Chrome actualizado a la última versión, ya que Google ya ha comenzado a mitigar algunos de los problemas de exposición de secretos en los registros (logs).

La ciberseguridad es un campo en constante evolución. La transición hacia un mundo sin contraseñas es el camino correcto, pero incidentes como Pass-ta-key nos recuerdan que ninguna tecnología es infalible y que la vigilancia constante es nuestra mejor defensa.