Исследователи из Palo Alto Networks обнаружили уязвимости в Google Password Manager, позволяющие злоумышленникам обходить защиту passkey. Атаки получили общее название Pass-ta-key и затрагивают пользователей Chrome и Android, использующих встроенный менеджер паролей Google.

Суть проблемы в том, что при определенных условиях вредоносное ПО может извлечь и использовать passkey без запроса PIN-кода или биометрии. При этом для атак не требуются права администратора или какое-либо взаимодействие с жертвой, что делает их особенно опасными в связке с уже скомпрометированной системой.

Всего исследователи описали три вектора атаки, каждый из которых использует особенности синхронизации и хранения ключей доступа. В частности, проблемы связаны с тем, как Google Password Manager обрабатывает данные на уровне операционной системы и расширений браузера, позволяя перехватывать учетные данные в момент их использования.

Важно отметить, что все атаки требуют предварительного заражения компьютера жертвы малварью. Однако отсутствие необходимости в повышенных привилегиях снижает порог входа для злоумышленников, так как многие вредоносные программы работают именно в пользовательском пространстве без прав администратора.

Разработчики Google уже были уведомлены об обнаруженных проблемах, и компания выпустила обновления, закрывающие описанные векторы атак. Пользователям рекомендуется обновить Chrome и Android до последних версий, чтобы минимизировать риски, связанные с этими уязвимостями.