Sicherheitsforscher haben drei neuartige Angriffstechniken auf passwortloses Login entdeckt. Betroffen sind vor allem Windows-Nutzer mit Chrome.<\/p>\n
Die Zeiten, in denen Passkeys als unknackbar galten, sind vorbei. Forscher der Sicherheitsfirma Palo Alto Networks haben Methoden gefunden, die synchronisierten Zugangsschl\u00fcssel in Google Chrome auf Windows-Systemen zu kompromittieren. Die Angriffe nutzen Schwachstellen in der Verwaltung und Verifikation der Anmeldedaten durch das Trusted Platform Module (TPM) des Betriebssystems.<\/p>\n
Drei Angriffsstufen mit wachsender Gefahr<\/p>\n
Die Forscher unterscheiden zwischen drei Varianten: Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key. Gemeinsam ist ihnen, dass sie ohne Administratorrechte, Nutzerinteraktion oder biometrische Best\u00e4tigung auskommen. Einmal auf dem System installierte Schadsoftware kann damit Anmeldeversuche f\u00e4lschen, ohne dass der Nutzer \u00fcberhaupt am Ger\u00e4t ist.<\/p>\n
Anzeige<\/p>\n
Angesichts von rund 4,7 Millionen gehackten Online-Konten pro Quartal in Deutschland suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Was hinter der neuen Passkey-Technologie steckt und wie man sie bei Diensten wie Amazon oder WhatsApp einrichtet, zeigt dieser kostenlose Ratgeber. Passkey-Technologie verstehen und Konten absichern<\/a><\/p>\n Beim einfachen Pass-ta-key-Angriff signiert die Malware Anfragen mit dem TPM-Identit\u00e4tsschl\u00fcssel. So erzeugt sie g\u00fcltige Authentifizierungsnachweise, obwohl der Nutzer nicht eingegriffen hat. Die Silver-Variante geht einen Schritt weiter: Hier registriert der Angreifer einen eigenen Verifikationsschl\u00fcssel, um dauerhaft Zugriff zu behalten.<\/p>\n Am gef\u00e4hrlichsten ist Golden Pass-ta-key. Dabei extrahiert die Schadsoftware ein 32-Byte gro\u00dfes Geheimnis (Security Domain Secret) aus dem Arbeitsspeicher von Chrome. Mit diesem Schl\u00fcssel lassen sich potenziell alle synchronisierten Passkeys des Kontos entschl\u00fcsseln. Besonders heikel: Nutzer k\u00f6nnen dieses Geheimnis derzeit nicht rotieren. Ein erfolgreicher Angriff hat also wom\u00f6glich langfristige Folgen.<\/p>\n