Una nuova ricerca sulla sicurezza delle passkey sincronizzate ha riportato l?attenzione su un punto spesso trascurato: la protezione dell?endpoint da cui parte l?autenticazione. Le tecniche raccolte sotto il nome di Pass-ta-key descrivono infatti scenari nei quali un malware gi? presente sul dispositivo pu? cercare di sfruttare il funzionamento del gestore di passkey per ottenere accesso agli account dell?utente.

Le conferme indipendenti arrivate in questi giorni da fonti internazionali, tra cui analisi riprese da TechRadar Pro e approfondimenti tecnici di Palo Alto Networks Unit 42, indicano che il problema riguarda in particolare l?ecosistema delle passkey sincronizzate tramite Google Password Manager su desktop. Secondo i ricercatori, alcune catene di attacco potrebbero permettere a un dispositivo compromesso di impersonare l?utente o di recuperare elementi sensibili usati per l?autenticazione.

Perch? il caso ? rilevante

Le passkey restano una tecnologia importante per ridurre phishing e riuso delle password, ma questa vicenda mostra che la loro efficacia dipende anche dalla sicurezza del sistema operativo, del browser e del gestore di credenziali. Le tecniche descritte non trasformano le passkey in uno strumento inefficace: richiedono comunque una compromissione preventiva della macchina o altre condizioni operative non banali. Tuttavia spostano l?attenzione dal solo fattore di autenticazione alla sicurezza complessiva dell?ambiente in cui viene usato.

Contesto tecnico e possibili impatti

Le analisi pubbliche spiegano che il rischio maggiore emerge quando le credenziali sono sincronizzate fra pi? dispositivi e una componente cloud o software locale gestisce parte delle operazioni necessarie all?uso della passkey. In questo modello, un attaccante che abbia gi? ottenuto esecuzione di codice sul computer pu? tentare di aggirare alcuni controlli locali, recuperare segreti utili o registrare il proprio dispositivo come fidato. L?impatto potenziale ? l?accesso non autorizzato ad account protetti da passkey, soprattutto se manca un monitoraggio attivo dell?endpoint.

Per le organizzazioni, il caso ? un promemoria operativo: l?adozione delle passkey va accompagnata da hardening dei client, protezioni EDR, policy sul browser e revisione dei meccanismi di recovery e sincronizzazione. Il vantaggio rispetto alle password tradizionali rimane concreto, ma non elimina la necessit? di difendere il dispositivo da malware e furto di sessione.