Des passkeys contournées sans casser la cryptographie : trois techniques ciblent Windows, Chrome et Entra ID

L’alerte, publiée le 10 août 2026, concerne trois recherches indépendantes montrant comment contourner les protections opérationnelles des passkeys sans casser la cryptographie FIDO.

Les attaques ne récupèrent pas directement les clés privées des authentificateurs. Elles réutilisent plutôt des signatures déjà générées, exploitent la synchronisation ou utilisent des clés disponibles dans des sessions Windows déjà compromises.

La chaîne SpecterOps entre Windows et Entra ID

Le 5 août 2026, Michael Grafnetter, principal security researcher chez SpecterOps, a présenté à Black Hat USA 2026 la technique « Pass-the-Passkey ».

La chaîne concerne Windows 10, Windows 11, Windows Server, le service Windows Event Logging et Microsoft Entra ID. Selon SpecterOps, Windows conservait en clair des signatures déjà produites par une YubiKey, les rendant lisibles par des utilisateurs authentifiés sans privilèges, y compris des utilisateurs distants.

Un attaquant pouvait combiner ces signatures avec des faiblesses dans la validation des passkey relay assertions d’Entra ID. Il pouvait ainsi s’authentifier comme un utilisateur privilégié, même lorsque l’authentification multifacteur résistante au phishing était activée.

La clé privée de la YubiKey n’était pas extraite. Le matériel cryptographique déjà signé était simplement réutilisé.

La vulnérabilité associée est CVE-2026-34348, classée par Microsoft avec un score CVSS de 6,5. Microsoft a publié une mise à jour de sécurité. La liste des produits concernés comprend Windows 10, Windows 11 et Windows Server, mais ne prouve pas que l’ensemble de la chaîne fonctionne de la même manière sur chaque version.

Google Password Manager et Chrome deviennent des cibles pour les malwares

Unit 42 a décrit trois scénarios baptisés « Pass-ta-key ». Ils nécessitent tous qu’un malware soit déjà exécuté sur le terminal, mais pas l’obtention de privilèges administrateur.

Le premier exploite les mécanismes d’identité de l’appareil utilisés par Chrome afin de faire passer le malware pour un client légitime de Google Password Manager. Il peut ainsi obtenir des signatures et s’authentifier sans demander un nouveau déverrouillage de l’appareil ni interaction de l’utilisateur.

La technique a été démontrée contre eBay, y compris lorsque le site exigeait une vérification de l’utilisateur. Après le signalement, eBay a modifié la validation du flag WebAuthn relatif à la user verification.

La variante la plus grave, appelée Golden Pass-ta-key, cible le Security Domain Secret, une clé maître de 32 octets qui protège les passkeys synchronisées. Unit 42 affirme que ce secret était visible dans les journaux de diagnostic de Chrome.

Google l’a supprimé des journaux. Selon Unit 42, il reste toutefois temporairement présent dans la mémoire du processus Chrome lors de la réinscription. Aucune version précise de Chrome n’est indiquée comme affectée.

Windows Hello for Business peut également être réutilisé

Dirk-jan Mollema a présenté un autre scénario : un malware exécuté dans une session Windows déjà authentifiée peut utiliser une clé Windows Hello for Business associée au matériel sans exiger à nouveau le code PIN ou la biométrie.

Le problème ne consiste ni à contourner la protection biométrique ni à dériver la clé privée. La session compromise dispose déjà du contexte nécessaire pour utiliser la clé.

Cela réduit l’efficacité d’une nouvelle demande de vérification locale lorsque le terminal est déjà sous le contrôle d’un attaquant.

Mesures recommandées aux administrateurs et aux utilisateurs

• Installer la mise à jour Microsoft correspondant à CVE-2026-34348.
• Mettre Chrome à jour et limiter, lorsque cela est possible, la collecte de journaux de diagnostic sensibles.
• Maintenir les protections des terminaux et l’authentification résistante au phishing.
• Appliquer le principe du moindre privilège et une approche Zero Trust.
• Surveiller les accès anormaux à Entra ID, Google Password Manager et aux comptes privilégiés.
• Considérer une session Windows comme compromise si le terminal exécute un malware.

Microsoft indique également avoir déployé des mesures d’atténuation pour le problème des passkey relay assertions, sans fournir de détails techniques sur l’étendue des protections côté Entra ID.

Les passkeys synchronisées ou liées à l’appareil renforcent la protection contre le phishing, mais n’éliminent pas le risque lié à un terminal ou à une session déjà compromis.