«Pass-ta-key»: Cuando el Malware se salta la seguridad de tus Passkeys de Google

Las passkeys o claves de acceso se han promocionado durante mucho tiempo como el futuro de la autenticación, un sustituto más seguro y resistente al phishing para las contraseñas tradicionales. Sin embargo, una reciente investigación de la unidad de seguridad Unit 42 de Palo Alto Networks revela que esta tecnología no es invulnerable. Han descubierto un conjunto de ataques, denominados Pass-ta-key, que permiten a los malware robar las claves sincronizadas del administrador de contraseñas de Google en sistemas Windows.

Es importante aclarar que estos ataques no rompen la criptografía subyacente de las passkeys, sino que explotan las debilidades en la implementación de Google, concretamente en cómo Chrome y el autenticador en la nube gestionan la confianza de los dispositivos, la sincronización y la recuperación de credenciales.

Los Tres Frentes del Ataque «Pass-ta-key»

Los investigadores han identificado tres técnicas distintas, cada una con un nivel de gravedad creciente, que requieren que el equipo de la víctima ya esté infectado con malware y cuente con un módulo de plataforma segura (TPM), un chip diseñado para almacenar claves criptográficas de forma segura.

1. Pass-ta-key (el básico): Esta técnica permite que el malware, sin privilegios de administrador, suplante la identidad del dispositivo confiable de la víctima. El malware utiliza la clave de identidad del dispositivo, respaldada por el TPM, para firmar una solicitud fraudulenta al autenticador en la nube de Google. Si la solicitud tiene éxito, Google devuelve una respuesta de autenticación válida, que el atacante puede usar para iniciar sesión en la cuenta de la víctima sin necesidad de PIN, biometría o interacción del usuario.
   • La Clave: Esta respuesta incluye un indicador llamado «User Verified» que confirma si se realizó una verificación biométrica o con PIN. El ataque solo funciona en servicios que no validan correctamente este indicador. Por ejemplo, los investigadores probaron el ataque contra GitHub (que sí lo valida y lo bloqueó) y contra eBay (que no lo validaba y era vulnerable). Según el informe, eBay ya ha corregido esta falla.
2. Silver Pass-ta-key (el intermedio): Este método supera la limitación del anterior. El malware fuerza a Chrome a volver a registrar el dispositivo en el autenticador en la nube. Durante este proceso de re-registro, el atacante puede registrar su propia clave de verificación, ya que el sistema de Google no verifica si la nueva clave proviene de un hardware de confianza. Una vez registrada, la clave maliciosa permite al atacante firmar solicitudes con el indicador «User Verified» activado, pudiendo así acceder a cuentas que sí requieren verificación, y todo ello desde otro sistema, sin necesidad de mantener acceso al equipo de la víctima.
3. Golden Pass-ta-key (el más grave): Este es el ataque más peligroso. No se limita a obtener una respuesta de autenticación temporal, sino que busca el «Santo Grial»: la clave maestra (conocida como «Security Domain Secret» o SDS) que utiliza Google para cifrar todas las passkeys sincronizadas de un usuario.
   • Inicialmente, los investigadores encontraron que Chrome exponía este secreto en texto plano en sus registros de diagnóstico internos (FIDO logs). Google eliminó el secreto de estos registros tras el aviso de Unit 42.
   • Sin embargo, el SDS sigue enviándose a Chrome y permanece accesible de forma temporal en la memoria del proceso del navegador durante el registro o recuperación de un dispositivo. Un malware puede forzar una re-registro, buscar el patrón del SDS en la memoria y extraerlo. Con esta clave maestra, el atacante puede descifrar todas las passkeys sincronizadas de la víctima (tanto las actuales como las futuras) y transferirlas a otro sistema para suplantarla. Actualmente, Google no ofrece un mecanismo para rotar o revocar este secreto maestro.

¿Qué Significa Esto para los Usuarios?

La principal conclusión de esta investigación es que la seguridad del dispositivo final es primordial. Todos los ataques «Pass-ta-key» requieren que el malware ya esté ejecutándose en el ordenador de la víctima. No son ataques remotos que exploten una vulnerabilidad de día cero en el navegador, sino que abusan de un sistema ya comprometido.

Por lo tanto, las medidas de protección se centran en:

• Mantener el dispositivo seguro: Instalar y mantener actualizado un software antivirus y antimalware es la primera y más importante línea de defensa.
• Revisar la actividad de la cuenta: Los usuarios deben revisar periódicamente el historial de accesos a sus cuentas para detectar cualquier actividad inusual, como inicios de sesión con passkeys desde dispositivos desconocidos.
• Ser precavido: Estas técnicas subrayan la importancia de no descargar software de fuentes no confiables y de estar atento a posibles infecciones de malware

El Debate: Passkeys, ¿Siguen siendo Seguras?

A pesar de este descubrimiento, los investigadores de Unit 42 y la Alianza FIDO insisten en que las passkeys siguen siendo significativamente más seguras que las contraseñas tradicionales. Su resistencia al phishing y al robo de credenciales por reutilización sigue siendo una ventaja incuestionable.

Lo que «Pass-ta-key» pone de manifiesto es que la seguridad de las passkeys sincronizadas depende en gran medida de la solidez de la implementación del ecosistema que las gestiona (navegador, autenticador en la nube, sistema operativo) y de la salud del dispositivo. Para las empresas y usuarios con necesidades de alta seguridad, este hallazgo sugiere que las passkeys vinculadas a un dispositivo (no sincronizadas) podrían ser una opción más robusta para determinados casos de uso, ya que eliminan el riesgo de que una única clave maestra pueda comprometer todas las credenciales del usuario si un dispositivo es infectado.

If you found an error, highlight it and press Shift + E or pulsa aquí to inform us.