As passkeys foram apresentadas como a evolução definitiva da autenticação, prometendo substituir senhas tradicionais por um método mais seguro, resistente a phishing, reutilização de credenciais e vazamentos em massa. No entanto, a pesquisa Pass-ta-key, publicada pela Unit 42, da Palo Alto Networks, demonstra que, embora a criptografia das passkeys permaneça sólida, ainda existe um ponto vulnerável: o próprio dispositivo do usuário. O ataque Pass-ta-key mostra que um computador previamente infectado pode comprometer a confiança estabelecida pelo navegador e assumir o controle de credenciais protegidas.
A descoberta descreve três técnicas distintas capazes de explorar o funcionamento do Google Password Manager no Google Chrome: Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Em comum, todas dependem de um cenário importante: o invasor já precisa ter conseguido instalar malware na máquina da vítima. Isso significa que não se trata de uma quebra da criptografia das passkeys nem de uma vulnerabilidade remota que permita invasões em massa pela internet.
Para administradores de sistemas, desenvolvedores, profissionais de segurança e usuários avançados, o estudo serve como um importante alerta. A pesquisa concentrou-se em dispositivos Windows protegidos por TPM (Trusted Platform Module), mas também evidencia um princípio válido para qualquer plataforma moderna: nenhuma tecnologia de autenticação consegue proteger completamente um endpoint que já foi comprometido por malware.
Como funciona a vulnerabilidade no ecossistema do Google
O estudo da Unit 42 concentra-se na implementação do Google Password Manager integrada ao Chrome, especialmente quando as passkeys são sincronizadas pela conta Google entre diferentes dispositivos.
Em condições normais, uma passkey permanece protegida por mecanismos criptográficos robustos. A chave privada nunca deixa o dispositivo e, quando existe sincronização em nuvem, ela é armazenada de forma criptografada. Isso significa que um invasor não consegue simplesmente interceptar a comunicação ou quebrar a criptografia utilizada pelo protocolo.
O problema identificado pelos pesquisadores está em outro componente da arquitetura: o modelo de confiança entre o navegador, o dispositivo e a conta Google. Uma vez que um malware assume controle suficiente sobre o ambiente local, ele consegue convencer determinados serviços de que está operando no dispositivo legítimo.
Em outras palavras, o elo mais fraco deixa de ser a criptografia e passa a ser a confiança depositada no endpoint.
Uma falha na confiança, não na criptografia
Esse é talvez o ponto mais importante da pesquisa.
Em nenhum momento os pesquisadores afirmam que as passkeys foram quebradas ou que seus algoritmos criptográficos apresentam falhas. Também não há qualquer indicação de que o TPM tenha sido comprometido diretamente.
O que o estudo demonstra é que o navegador pode ser induzido por malware a realizar operações legítimas em nome do usuário. Como consequência, diversos mecanismos de proteção acabam sendo utilizados pelo próprio sistema operacional para beneficiar o invasor.
Essa diferença é fundamental.
Enquanto ataques tradicionais buscam roubar senhas ou quebrar algoritmos criptográficos, o Pass-ta-key explora um computador que já perdeu sua integridade.
Pass-ta-key: falsificando a identidade do dispositivo
A primeira técnica, chamada simplesmente de Pass-ta-key, explora a forma como o Chrome solicita autenticação ao Google Password Manager.
Mesmo sem privilégios administrativos elevados, um malware consegue utilizar a chave protegida pelo TPM para solicitar autenticações em nome da vítima. Na prática, o navegador acredita estar realizando uma operação legítima solicitada pelo usuário.
Durante os testes realizados pelos pesquisadores, os resultados variaram conforme o serviço utilizado.
O GitHub, por exemplo, implementa verificações adicionais capazes de identificar inconsistências e impedir o ataque. Já o eBay aceitou o processo de autenticação, demonstrando que diferentes serviços ainda implementam as passkeys com níveis distintos de validação.
Essa diferença evidencia que a segurança do ecossistema não depende apenas do navegador, mas também da maneira como cada plataforma implementa o padrão.
Silver Pass-ta-key: registrando uma nova chave maliciosa
A segunda técnica, denominada Silver Pass-ta-key, representa um avanço significativo em relação ao ataque inicial.
Nesse cenário, o malware força o navegador a invalidar a credencial existente e registra uma nova passkey controlada pelo invasor.
Segundo a pesquisa, o processo ocorre porque o Google não valida completamente determinados atributos relacionados ao hardware durante o registro da nova chave.
Na prática, a conta continua funcionando normalmente para o usuário, mas agora existe uma credencial adicional totalmente controlada pelo atacante.
O impacto pode ser extremamente perigoso, já que o acesso continua persistente mesmo após reinicializações do computador ou mudanças de senha da conta, dependendo do contexto da autenticação utilizada.
Golden Pass-ta-key: quando o malware obtém a chave mestra
A terceira variante é considerada a mais sofisticada e também a mais preocupante.
O Golden Pass-ta-key concentra-se na obtenção do chamado Security Domain Secret (SDS), ou segredo de domínio de segurança, utilizado pelo sistema de sincronização do Google Password Manager.
Embora esse segredo permaneça criptografado durante o armazenamento e durante a sincronização em nuvem, ele precisa existir em memória enquanto o navegador está em funcionamento.
Uma vez presente na memória do processo do Chrome, um malware suficientemente avançado pode capturá-lo.
Com esse segredo em mãos, torna-se possível descriptografar não apenas as credenciais sincronizadas atualmente, mas também futuras sincronizações associadas à mesma conta.
Na prática, o SDS funciona como uma espécie de chave mestra para o ambiente sincronizado do gerenciador de senhas.
É justamente por isso que os pesquisadores classificam essa técnica como a mais crítica entre as três.
O impacto para o ecossistema e usuários de outros sistemas
Embora o estudo tenha sido desenvolvido especificamente em Windows com TPM, seus resultados despertam discussões importantes para todo o mercado.
O principal motivo é que ataques envolvendo extração de memória não são exclusivos do Windows. Técnicas semelhantes podem existir em outros sistemas operacionais caso o dispositivo seja previamente comprometido.
Isso não significa que Linux, macOS ou outros ambientes estejam vulneráveis exatamente da mesma maneira. A pesquisa não faz essa afirmação.
Entretanto, ela reforça um conceito conhecido pelos profissionais de segurança: quando um endpoint já está comprometido, praticamente qualquer mecanismo de autenticação passa a operar sob risco.
Os pesquisadores também destacam que algumas melhorias já começaram a ser implementadas. Entre elas está a redução da exposição do Security Domain Secret em registros de depuração e outros mecanismos internos.
Ainda assim, o segredo continua precisando existir temporariamente na memória para que a sincronização funcione, o que mantém uma superfície de ataque disponível para malwares altamente sofisticados.
Para a comunidade do SempreUpdate, especialmente administradores Linux e profissionais de infraestrutura, a principal mensagem é clara: a pesquisa não demonstra uma falha generalizada nas passkeys, mas reforça a necessidade de proteger rigorosamente o endpoint.
Conclusão e medidas de mitigação
A pesquisa da Unit 42 não representa o fim das passkeys nem invalida sua adoção como sucessoras das senhas tradicionais.
Na realidade, elas continuam oferecendo vantagens extremamente importantes, principalmente contra phishing, reutilização de credenciais, ataques de força bruta e vazamentos de bancos de dados.
O estudo mostra algo diferente: nenhum mecanismo de autenticação consegue proteger um computador que já foi comprometido por malware.
Para reduzir esse risco, organizações devem investir em proteção de endpoints, detecção de comportamento malicioso, atualização constante de navegadores e sistemas operacionais, uso de soluções EDR/XDR, monitoramento contínuo e boas práticas de higiene digital.
Para usuários finais, a principal recomendação permanece sendo evitar a instalação de softwares de origem duvidosa, manter o sistema atualizado e utilizar soluções de segurança capazes de impedir que o malware obtenha acesso inicial ao dispositivo.
As passkeys continuam sendo uma evolução significativa em relação às senhas convencionais. Entretanto, a pesquisa Pass-ta-key lembra que a segurança nunca depende exclusivamente da criptografia, mas também da integridade do equipamento onde ela é utilizada.
