ARTICLE · 982536
新型攻击手段使恶意软件能够劫持受密码保护的账户
近年来，Passkey（通行密钥）因采用公私钥密码体系，并结合指纹、人脸识别或PIN码进行本地用户验证，被认为是替代传统密码的重要认证方式，能够有效抵御钓鱼攻击、密码泄露和凭据重放等传统攻击手段。然而，最新安全研究表明，攻击者已经开始将攻击重点从Passkey本身的密码学机制转向其实现过程和终端运行环境，通过恶意软件绕过认证流程，劫持受Passkey保护的账户。这意味着，Passkey并非绝对安全，当终端设备遭到入侵时，其安全优势将被大幅削弱。
此次研究提出了三种针对Google Password Manager同步Passkey机制的攻击方法，分别被命名为“Pass-ta-key”“Silver Pass-ta-key”和“Golden Pass-ta-key”。三种攻击方式的共同前提是攻击者已经通过木马程序控制了受害者终端，并非直接破解Passkey的加密算法，而是利用Passkey管理流程中的实现缺陷，绕过用户验证、伪造可信设备或窃取同步密钥，从而实现账户接管。研究强调，这些攻击针对的是认证体系的实现逻辑，而不是FIDO2或WebAuthn等Passkey标准本身。
第一种攻击方式主要利用网站未严格验证用户本地身份确认（User Verification）的缺陷。当恶意软件伪装成用户发起Passkey登录请求时，部分网站未能正确验证用户是否真正完成了指纹、人脸识别或PIN码确认，导致攻击者能够在无需用户参与的情况下完成身份认证，实现账户登录。研究发现，不同网站对Passkey认证结果的校验存在差异，部分网站能够有效阻止该类攻击，而部分网站则曾受到影响，说明Passkey安全不仅依赖认证平台，也依赖业务系统是否严格执行认证协议。
第二种攻击方式针对设备信任建立过程。恶意软件可利用设备重新注册流程，使攻击者控制的设备被错误识别为受信任设备，并生成合法的Passkey认证能力。完成注册后，即使受害者原有设备不再参与认证，攻击者仍可持续利用已建立的信任关系登录相关账户。这种攻击说明，设备注册、设备绑定以及设备身份验证机制同样是Passkey生态的重要安全环节，如果缺乏可信硬件验证和完整性校验，攻击者可能借助恶意软件建立长期访问能力。
第三种攻击方式风险最高，其目标是窃取Google Password Manager用于同步Passkey的核心密钥（Security Domain Secret，SDS）。研究人员发现，在Chrome浏览器处理同步Passkey过程中，该密钥会短暂出现在内存中，恶意软件可趁机从内存提取该密钥，并进一步解密所有已同步的Passkey私钥。攻击者随后可将这些Passkey复制到其他设备，在未来持续登录受害者账户，实现真正意义上的Passkey资产窃取。该攻击并未破解Passkey密码学算法，而是利用终端运行过程中密钥暴露于内存的窗口实施攻击，因此属于典型的终端侧攻击。
此次研究进一步说明，随着密码逐步退出历史舞台，网络攻击重点正在由传统凭据窃取向身份基础设施攻击转变。攻击者越来越关注身份认证平台、浏览器、密码管理器、同步机制以及终端设备本身，而不是直接破解密码或加密算法。未来，身份认证安全将更加依赖终端安全、可信执行环境、安全硬件以及浏览器运行时保护能力，仅依靠更先进的身份认证方式并不足以完全防止账户被劫持。
对于我国网络安全建设而言，该研究具有较强的借鉴意义。一方面，应正确认识Passkey等无密码认证技术的安全边界，将其视为提升身份认证安全的重要手段，而非绝对安全方案；另一方面，应更加重视终端安全防护，加强恶意软件检测、终端检测与响应（EDR）、浏览器安全、内存保护以及可信计算能力建设，防止攻击者通过终端控制绕过身份认证机制。同时，互联网平台和重要信息系统在部署Passkey认证时，应严格按照FIDO2、WebAuthn等标准验证用户身份确认状态，加强设备注册、可信设备管理和密钥生命周期管理，避免因实现缺陷削弱Passkey本应具备的安全优势，从而构建更加完整、可靠的身份认证防护体系。
往期回顾
等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架
网络安全等保系列
等级保护建设参考系列
关基保护系列
数据安全系列
结构化数据（Structured Data）与非结构化数据（Unstructured Data）
医疗机构数据安全和个人信息保护自查简表（基于最新医疗机构管理办法）
个人信息保护系列