Pass-ta-key : les passkeys synchronisées de Google peuvent être détournées par un malware

🔑 Les passkeys, ce système censé remplacer le mot de passe

Une passkey (« clé d’accès ») est une paire de clés cryptographiques générée par un appareil : une clé privée, qui ne quitte jamais l’appareil (ou le service cloud qui la synchronise de façon chiffrée), et une clé publique, transmise au site ou service concerné. Contrairement à un mot de passe, une passkey ne peut pas être devinée, réutilisée d’un site à l’autre, ni interceptée par un site de hameçonnage classique — l’authentification repose sur une preuve cryptographique, validée localement par une empreinte digitale, un visage ou un code appareil.

Le standard technique sous-jacent s’appelle WebAuthn (Web Authentication), porté par la FIDO Alliance (Fast IDentity Online). Google, Apple et Microsoft ont chacun leur propre système de synchronisation des passkeys entre appareils : pour Google, c’est Google Password Manager, intégré à Chrome et au compte Google.

🔬 Ce qu’Unit 42 a découvert

Unit 42, la division de recherche en cybersécurité de l’entreprise américaine Palo Alto Networks, a publié une étude détaillant trois chemins d’attaque distincts contre l’authentificateur cloud de Google Password Manager sous Chrome, sur des machines Windows équipées d’un TPM (Trusted Platform Module — une puce dédiée au stockage sécurisé de secrets cryptographiques, présente sur la quasi-totalité des PC récents).

Point commun aux trois techniques : elles ne cassent pas la cryptographie des passkeys elles-mêmes. Elles exploitent plutôt la façon dont Chrome gère l’identité de l’appareil, la procédure de réinscription en cas de perte d’état local, et le niveau de vérification effectivement exigé côté serveur.

🧩 Les trois techniques, du plus simple au plus grave

Pass-ta-key (technique 1) : le malware usurpe la clé d’identité de l’appareil stockée par Chrome, accessible avec de simples droits utilisateur standard — sans privilèges administrateur, sans interaction, sans déverrouillage biométrique. Il peut alors demander au TPM de signer une requête frauduleuse, que l’authentificateur cloud de Google traite comme légitime.

Silver Pass-ta-key (technique 2) : plus avancée, elle va jusqu’à contourner la vérification utilisateur elle-même. En supprimant ou corrompant le fichier d’état local des passkeys, l’attaquant force Chrome à relancer une procédure de réinscription de l’appareil, durant laquelle il enregistre sa propre clé de vérification auprès de Google.

Golden Pass-ta-key (technique 3, la plus grave) : elle permet d’extraire directement, depuis la mémoire de Chrome, la clé maître qui chiffre l’ensemble des passkeys synchronisées du compte Google Password Manager de la victime — pas seulement une passkey isolée, mais potentiellement tout le coffre.

🖥️ La condition qui limite (un peu) le risque

C’est le point central à retenir : ces attaques supposent qu’un attaquant a déjà réussi à exécuter du code sur l’ordinateur visé — via un infostealer, une pièce jointe piégée ou toute autre méthode de compromission initiale. Autrement dit, Pass-ta-key n’est pas la porte d’entrée d’une attaque, mais une façon d’en aggraver considérablement les conséquences une fois la porte déjà ouverte : au lieu de se limiter aux mots de passe stockés dans le navigateur (déjà une cible classique des infostealers), l’attaquant peut désormais viser directement les passkeys, présentées jusqu’ici comme la protection ultime contre le vol de comptes.

🛠️ La réponse de Google, jugée incomplète

Google a réagi en supprimant l’exposition du secret dans certains journaux techniques (logs) identifiée par les chercheurs. Mais selon Unit 42, la faille structurelle la plus grave — l’accessibilité de la clé maître en mémoire, sans mécanisme permettant de la faire tourner (rotation) ou de la révoquer après une compromission suspectée — n’a pas été corrigée à ce stade. En clair : si un appareil a été infecté et que la clé maître a pu être extraite, il n’existe pour l’instant aucun moyen pour l’utilisateur de « invalider » cette clé a posteriori, contrairement à un mot de passe qu’il suffit de changer.

📊 Pourquoi ça compte : le pari de sécurité des passkeys ébréché

Les passkeys ont été promues, ces trois dernières années, comme immunisées contre le hameçonnage classique — l’un des vecteurs de compromission de comptes les plus efficaces historiquement. Cette étude ne remet pas en cause cette immunité face au phishing : une passkey reste, dans son principe, impossible à extorquer par un faux site imitant un site légitime. Ce qu’elle démontre, c’est que la synchronisation cloud des passkeys — pratique nécessaire pour ne pas perdre l’accès à ses comptes en cas de changement d’appareil — introduit une nouvelle surface d’attaque, comparable en un sens à ce qu’un gestionnaire de mots de passe centralisé représentait déjà : un point unique dont la compromission expose tout le reste.

🛡️ Comment se protéger en pratique

• Maintenir un antivirus/anti-malware à jour reste la première ligne de défense : ces attaques nécessitent une infection préalable de la machine.
• Éviter d’installer des logiciels piratés, des extensions de navigateur non vérifiées ou des exécutables issus de sources non officielles — vecteurs classiques d’infostealers.
• Pour les usages les plus sensibles, envisager une clé de sécurité matérielle (type YubiKey, s’appuyant sur le standard FIDO2) plutôt qu’une passkey uniquement synchronisée dans le cloud : une clé physique ne peut pas être extraite à distance de la mémoire d’un navigateur.
• Activer, quand le service le propose, une alerte de connexion depuis un nouvel appareil, pour détecter rapidement un enregistrement frauduleux type Silver Pass-ta-key.
• Se tenir informé des menaces émergentes aide aussi à anticiper : Liberta Press avait ainsi documenté comment les malwares boostés à l’IA gagnent en efficacité, et propose un guide complet pour protéger ses données avec VeraCrypt.

✅ Conclusion
Pass-ta-key ne signe pas la fin des passkeys — elles restent, face au hameçonnage, très supérieures au mot de passe classique. Mais l’étude d’Unit 42 rappelle une règle constante en cybersécurité : aucun mécanisme d’authentification n’est plus sûr que l’appareil sur lequel il s’exécute. Tant que Google n’aura pas corrigé l’exposition de la clé maître en mémoire, la synchronisation cloud des passkeys restera un maillon plus fragile que ce que le marketing autour du « sans mot de passe » laisse entendre.

📚 Sources

1. BleepingComputer — New Pass-ta-key attacks let malware hijack Google-synced passkeys
2. The Hacker News — Google Password Manager Attacks Could Let Malware Hijack Passkey-Protected Accounts
3. Unit 42 (Palo Alto Networks) — Pass the Passkey: A Novel Attack Surface in Passwordless Authentication
4. Cyber Security News — Malware Can Steal Your Google Synced Passkey Without Asking for Your Password or Fingerprint

Le mot de passe meurt lentement ; ce qui le remplace hérite, pour l’instant, des mêmes failles que l’appareil qui le porte.