Una ricerca diffusa da Unit 42 di Palo Alto Networks ha riacceso l'attenzione sulla sicurezza delle passkey sincronizzate tramite Google Password Manager e Chrome. Gli autori descrivono una serie di tecniche, riassunte sotto il nome di "Pass-ta-key", che in determinati scenari consentirebbero a un malware già presente sul dispositivo di abusare del meccanismo di autenticazione passwordless.
Le evidenze sono state riprese anche da testate internazionali di settore, che sottolineano come gli attacchi non mettano in discussione il modello FIDO in sé, ma l'implementazione pratica della sincronizzazione e della gestione locale delle chiavi. Il punto centrale è che, se un endpoint è già compromesso, l'attaccante può tentare di sfruttare i flussi usati per autenticare il dispositivo o recuperare i segreti necessari a usare le credenziali sincronizzate.
Cosa emerge dalla ricerca
Secondo Unit 42, gli scenari illustrati vanno da un abuso del processo con cui un nuovo device viene riconosciuto come attendibile fino al tentativo di estrarre il segreto principale che protegge l'insieme delle passkey sincronizzate. Le varianti descritte richiedono comunque un presupposto rilevante: l'attaccante deve aver già ottenuto esecuzione sul sistema della vittima, ad esempio tramite malware o compromissione preliminare dell'host.
Questo aspetto riduce l'impatto pratico rispetto a un difetto sfruttabile da remoto senza accesso iniziale, ma non elimina il rischio per ambienti aziendali dove il browser viene usato come punto di accesso a servizi critici. In questi contesti, la sincronizzazione delle passkey aumenta l'usabilità ma concentra anche il valore del bersaglio sull'endpoint e sui meccanismi di recovery.
Implicazioni per aziende e utenti
Le conferme indipendenti disponibili finora indicano che alcune mitigazioni sono già state introdotte nel tempo, mentre altri aspetti restano oggetto di confronto con i ricercatori. Per i team di sicurezza il messaggio operativo è duplice: continuare ad adottare passkey e fattori resistenti al phishing, ma affiancarli a controlli più severi sugli endpoint, sulla protezione del browser e sull'igiene del malware.
In pratica, la robustezza della passkey non compensa una workstation già compromessa. Per questo la protezione dell'host, il monitoraggio delle modifiche anomale ai meccanismi di autenticazione e la limitazione dei privilegi locali restano elementi essenziali anche nelle architetture che stanno abbandonando le password tradizionali.