Passkey semakin populer sebagai alternatif yang lebih aman dibandingkan kata sandi tradisional. Namun, celah keamanan mulai terlihat setelah peneliti berhasil menembus sistem passkey berbasis Chrome milik Google.
Metode serangan yang disebut Pass-ta-key ini ditemukan oleh tim peneliti dari Unit 42.
>>> Peralta Belum Bisa Main Penuh di Final Piala Presiden 2026
Mereka menemukan kelemahan tersembunyi di Google Password Manager yang memungkinkan peretas memanipulasi titik akhir dan mengelabui situs web.
Syarat utama serangan ini adalah mesin Windows korban harus sudah terinfeksi malware. Komputer yang bersih tidak akan rentan saat passkey digunakan.
Tiga varian serangan Pass-ta-key
Laporan Unit 42 merinci tiga jalur serangan yang mengeksploitasi sistem ini secara bertahap.
Metode pertama adalah Pass-ta-key dasar. Serangan ini melibatkan pengambilalihan akun menggunakan malware di perangkat.
Kunci identitas diekspor ke disk alih-alih menggunakan hardware pelindung TPM.
Malware kemudian melakukan autentikasi dengan Google Password Manager tanpa persetujuan pengguna. Metode ini hanya berfungsi pada situs seperti eBay karena situs tersebut tidak memvalidasi bendera verifikasi pengguna.
Metode kedua disebut Silver Pass-ta-key. Serangan ini menipu pengelola kata sandi agar menganggap pengguna telah membuka kunci perangkat menggunakan biometrik.
>>> Modric Ungkap Alasan Utama Milan Gagal Lolos ke Liga Champions
Mesin Windows yang terinfeksi dibuat tetap dalam kondisi tertunda, sehingga proses verifikasi pengguna tidak ditandai sebagai selesai. Dalam status tersebut, malware dapat mendaftarkan kuncinya sendiri.
Metode ketiga dan paling berbahaya adalah Golden Pass-ta-key. Serangan ini menargetkan proses enkripsi yang dikenal sebagai Security Domain Secret (SDS).
Meskipun Google telah berupaya menghapusnya, informasi rahasia ini masih tertinggal dan terekspos di memori proses Chrome. Malware dapat mencuri data tersebut dan mengumpulkan seluruh database passkey pengguna.
