Google Chrome: Lücke hebelt Passkeys unter Windows aus
Passkeys galten bislang als der unknackbare Heilige Gral unserer passwortlosen Zukunft. Doch eine Entdeckung der Sicherheitsforscher von Unit 42 zeigt jetzt eindrucksvoll, dass selbst die beste Kryptografie nutzlos ist, wenn die lokale Anwendung den Arbeitsspeicher nicht schützt. Über gleich drei neu entdeckte Angriffspfade gelingt es Schadsoftware auf bereits infizierten Windows-Rechnern, die biometrischen Abfragen im Google Passwort Manager komplett zu umgehen. Da bin ich echt gespannt, wie schnell Google hier nachbessert.
Zur beruhigenden Einordnung vorweg: Die zugrunde liegende FIDO2- und WebAuthn-Kryptografie ist nach wie vor felsenfest. Das Problem liegt schlicht in Googles lokaler Browser-Implementierung unter Windows. Sobald sich eine Malware erst einmal Systemrechte verschafft hat, hebelt sie nicht die mathematische Verschlüsselung aus, sondern nutzt die Architektur der lokalen Cloud-Authentifizierung aus.
Dreister Trick hebelt Fingerabdruck und PIN aus
Die Methoden zeigen, wie verwundbar die Schnittstelle zwischen Browser und Betriebssystem ist: Bei der Variante Pass-ta-key imitiert die Schadsoftware ein vertrauenswürdiges Gerät. Sie fordert eine gültige Anmeldebestätigung bei Google an, ohne dass Nutzer am Monitor einen Finger auf den Sensor legen müssen. Die Weiterentwicklung Silver Pass-ta-key schleust heimlich einen eigenen Verifizierungsschlüssel in Googles Cloud-Dienst ein, um sich die Tür für künftige Anmeldungen dauerhaft zu öffnen.
Technisch extrem brenzlig ist die Methode Golden Pass-ta-key. Hierbei greift die Schadsoftware direkt den Arbeitsspeicher von Chrome ab und liest das sogenannte Security Domain Secret aus. Dieser Hauptschlüssel entschlüsselt alle im Google-Konto synchronisierten Passkeys. Angreifer können die privaten Schlüssel extrahieren, auf eigene Systeme übertragen und dort für unbefugte Anmeldungen nutzen – die lokale Biometrie-Pflicht wird schlicht ignoriert.
Warum die Betriebssystem-Isolation versagt
Das Kernproblem liegt in der Speichersicherheit unter Windows: Chrome schützt Schlüssel im RAM nicht ausreichend vor Prozessen, die mit erhöhten Nutzerrechten laufen. Während spezialisierte Hardware-Sicherheitsmodule wie YubiKeys oder dedizierte TPM-Chips private Schlüssel physisch isolieren und niemals im Klartext im Arbeitsspeicher ablegen, setzt die reine Software-Synchro im Browser auf Vertrauen ins Betriebssystem. Ist dieses infiziert, bricht die Schutzkette.
Mal sehen, ob Google die Schlüssel-Verwaltung in Chrome künftig strikter an die Hardware-Sicherheit von Windows bindet. Wer sich jetzt schützen will, sollte neben zeitnahen Browser-Updates auf eine strikte Trennung von Admin- und Nutzerkonten achten sowie bei sensiblen Konten auf physische Hardware-Sicherheitsschlüssel setzen.
Schmidtis Blog zu Deiner bevorzugten Quelle bei Google hinzufügen
Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!
