Passkey aggirate senza rompere la crittografia: tre tecniche colpiscono Windows, Chrome ed Entra ID

La notizia, rilevata il 10 agosto 2026, riguarda tre ricerche indipendenti che mostrano come aggirare le protezioni operative delle passkey senza violare la crittografia FIDO.

Gli attacchi non ricavano direttamente le chiavi private dagli autenticatori. Riutilizzano invece firme già generate, sfruttano la sincronizzazione oppure impiegano chiavi disponibili in sessioni Windows già compromesse.

La catena SpecterOps tra Windows ed Entra ID

Il 5 agosto 2026 Michael Grafnetter, principal security researcher di SpecterOps, ha presentato a Black Hat USA 2026 la tecnica “Pass-the-Passkey”.

La catena riguarda Windows 10, Windows 11, Windows Server, Windows Event Logging Service e Microsoft Entra ID. Secondo SpecterOps, Windows conservava in chiaro firme già prodotte da una YubiKey, rendendole leggibili anche a utenti autenticati senza privilegi, compresi utenti remoti.

Un attaccante poteva combinare queste firme con debolezze nella validazione delle passkey relay assertions di Entra ID. Il risultato era l’autenticazione come un utente privilegiato, anche con MFA resistente al phishing.

La chiave privata della YubiKey non veniva estratta. Veniva riutilizzato materiale crittografico già firmato.

La vulnerabilità associata è CVE-2026-34348, classificata da Microsoft con CVSS 6.5. Microsoft ha pubblicato un aggiornamento di sicurezza. L’elenco dei prodotti affetti comprende Windows 10, Windows 11 e Windows Server, ma non dimostra che l’intera catena funzioni nello stesso modo su ogni release.

Google Password Manager e Chrome diventano bersagli del malware

Unit 42 ha descritto tre percorsi denominati “Pass-ta-key”. Tutti richiedono malware già eseguito sull’endpoint, ma non l’ottenimento di privilegi amministrativi.

Il primo sfrutta i meccanismi di identità del dispositivo usati da Chrome per far apparire il malware come un client legittimo di Google Password Manager. In questo modo può ottenere firme e autenticarsi senza un nuovo sblocco del dispositivo o un’interazione dell’utente.

La tecnica è stata dimostrata contro eBay anche quando il sito richiedeva la verifica dell’utente. Dopo la segnalazione, eBay ha modificato la validazione del flag WebAuthn relativo alla user verification.

La variante più grave, chiamata Golden Pass-ta-key, prende di mira il Security Domain Secret, una chiave master di 32 byte che protegge le passkey sincronizzate. Unit 42 afferma che il segreto era visibile nei log diagnostici del dispositivo di Chrome.

Google lo ha rimosso dai log. Secondo Unit 42, però, rimane temporaneamente nella memoria del processo Chrome durante la riregistrazione. Non è indicata una versione specifica di Chrome coinvolta.

Anche Windows Hello for Business può essere riutilizzato

Dirk-jan Mollema ha mostrato un ulteriore scenario: malware eseguito in una sessione Windows già autenticata può utilizzare una chiave Windows Hello for Business associata all’hardware senza richiedere nuovamente PIN o biometria.

Il problema non consiste nel superamento della protezione biometrica o nella derivazione della chiave privata. La sessione compromessa dispone già del contesto necessario per utilizzare la chiave.

Questo riduce il valore della richiesta di una nuova verifica locale quando l’endpoint è già sotto il controllo di un aggressore.

Cosa devono fare amministratori e utenti

• Installare l’aggiornamento Microsoft relativo a CVE-2026-34348.
• Aggiornare Chrome e limitare, quando possibile, la raccolta di log diagnostici sensibili.
• Mantenere attive le protezioni endpoint e l’autenticazione resistente al phishing.
• Applicare il principio del least privilege e un modello Zero Trust.
• Monitorare accessi anomali a Entra ID, Google Password Manager e account privilegiati.
• Considerare compromessa una sessione Windows se il dispositivo esegue malware.

Microsoft dichiara inoltre di aver introdotto mitigazioni per il problema delle passkey relay assertions, ma non ha fornito dettagli tecnici sull’estensione delle protezioni lato Entra ID.

Le passkey sincronizzate o vincolate al dispositivo aumentano la sicurezza contro il phishing, ma non eliminano il rischio di un endpoint o di una sessione già compromessi.