Neue Angriffe hebeln Phishing-resistente Passkey-Anmeldung aus

Drei Forschungsarbeiten zeigen, wie sich der Schutz von Passkeys umgehen lässt, ohne die zugrunde liegende Kryptografie selbst zu brechen.

Der Sicherheitsforscher Michael Grafnetter von SpecterOps stellte am 5. August auf der Black Hat USA seine als Pass-the-Passkey bezeichnete Forschung vor. Demnach speicherte Windows frühere YubiKey-Signaturen im Klartext ab, wo sie auch von authentifizierten, nicht privilegierten Nutzern, einschließlich Remote-Nutzern, ausgelesen werden konnten. In Kombination mit Schwächen bei der Passkey-Validierung in Microsoft Entra ID ließ sich damit laut SpecterOps die Identität privilegierter Nutzer vortäuschen, obwohl eigentlich eine Phishing-resistente Multi-Faktor-Authentifizierung vorgeschrieben war.

Der Angreifer benötigt dabei nicht den eigentlichen privaten Schlüssel eines Authentifizierungsgeräts, sondern lediglich eine bereits erzeugte, von Windows aufbewahrte Signatur. Die zugrunde liegende Schwachstelle in Windows selbst ist als CVE-2026-34348 erfasst, Microsoft hat dafür bereits ein Sicherheitsupdate veröffentlicht und erklärte gegenüber The Hacker News, zusätzlich Abwehrmaßnahmen gegen die gemeldete Weiterleitung von Passkey-Bestätigungen umgesetzt zu haben.

Google-Passwortmanager und Windows Hello ebenfalls betroffen

Forscher von Unit 42 zeigten in einer als Pass-ta-key bezeichneten Untersuchung mehrere Angriffe gegen das cloudbasierte, synchronisierte Passkey-System von Google Password Manager in Chrome unter Windows. Voraussetzung ist dabei jeweils bereits auf dem Zielgerät laufende Schadsoftware. Die schwerwiegendste Variante, Golden Pass-ta-key, zielt auf das sogenannte Security Domain Secret, einen 32 Byte großen Hauptschlüssel zum Schutz synchronisierter Passkeys. Unit 42 fand dieses Geheimnis zunächst offen in Chromes Geräteprotokollierung, Google entfernte es nach der Meldung aus dieser Protokollausgabe.

Nach Angaben der Forscher bleibt das Geheimnis jedoch weiterhin vorübergehend im Prozessspeicher von Chrome während einer erneuten Geräteregistrierung sichtbar, wodurch sich damit die privaten Schlüssel sämtlicher synchronisierter Passkeys eines Opfers rekonstruieren lassen. Da Google für dieses Geheimnis aktuell keine Möglichkeit zur Rotation oder zum Widerruf vorsieht, bleibt eine solche Kompromittierung deutlich langlebiger als der Diebstahl einer einzelnen Anmeldung.

Der unabhängige Forscher Dirk-jan Mollema untersuchte parallel Windows Hello for Business, dessen zugrunde liegender Schlüssel auf modernen Windows-Geräten normalerweise durch das Trusted Platform Module geschützt und nicht exportierbar ist. Mollema fand jedoch, dass ein gering privilegierter Prozess innerhalb einer bereits kompromittierten, angemeldeten Windows-Sitzung diesen nicht exportierbaren Schlüssel nutzen kann, ohne dass dafür eine erneute PIN- oder biometrische Eingabe erforderlich wäre. Da die zugehörige WebAuthn-Challenge von Entra ID fünf Minuten gültig und weder an eine Sitzung noch an einen bestimmten Nutzer oder Mandanten gebunden ist, lässt sich eine auf dem System des Angreifers angeforderte Challenge auf dem Gerät des Opfers signieren und als gültige Anmeldung zurückgeben, die auch Richtlinien für Phishing-resistente Authentifizierung erfüllt.

Empfohlene Gegenmaßnahmen

Für Windows-Systeme empfiehlt sich die zeitnahe Installation des verfügbaren Sicherheitsupdates zu CVE-2026-34348. Dienste, die WebAuthn-Bestätigungen entgegennehmen, sollten angeforderte Anforderungen zur Nutzerverifizierung auch tatsächlich konsequent durchsetzen, wie es beim Online-Marktplatz eBay nach einer entsprechenden Meldung von Unit 42 bereits nachgebessert wurde. Endpunktschutzlösungen sollten Passkey-Speicher, Wiederherstellungsabläufe und Browser-Arbeitsspeicher grundsätzlich als besonders schützenswerte Bereiche behandeln.

Für Entra-Umgebungen empfiehlt sich zudem eine gezielte Überwachung ungewöhnlicher Windows-Hello-for-Business-Anmeldungen ohne Gerätekennung sowie unerwarteter Geräteregistrierungen. Ab dem 1. September 2026 will Microsoft zudem Entra-ID-Nutzer, die derzeit SMS oder Sprachanrufe zur Authentifizierung nutzen, automatisch für Passkeys freischalten und zur Registrierung auffordern, bevor der eigene SMS- und Sprachdienst zum 1. Februar 2027 eingestellt wird.

(red)