Il 3 agosto 2026, ricercatori di SpecterOps, Unit 42 di Palo Alto Networks e del ricercatore indipendente Dirk-jan Mollema hanno pubblicato tecniche distinte e convergenti che aggirano le protezioni passkey su piattaforme Microsoft e Google. Nessuna delle tre ricerche rompe la crittografia FIDO2/WebAuthn sottostante: tutte abusano dei controlli implementativi circostanti, da Windows che memorizza firme in chiaro a Google Password Manager che espone la master key in memoria. La scoperta arriva mentre Microsoft accelera la transizione passwordless con deadline a settembre 2026 e ritiro SMS a febbraio 2027.
- CVE-2026-34348: Windows Event Logging Service memorizza assertion WebAuthn in cleartext, consentendo replay su Entra ID con utenti non privilegiati; Microsoft ha rilasciato patch e mitigazioni.
- Unit 42 ha dimostrato tre varianti "Pass-ta-key" contro Google Password Manager in Chrome, incluso il recupero della Security Domain Secret di 32 byte da memoria processo durante re-registration.
- Dirk-jan Mollema ha pubblicato PoC PowerShell che abusa chiavi Windows Hello for Business da sessione compromessa senza nuovo PIN o biometrico, generando assertion fresche valide su Entra.
- Tutti gli attacchi richiedono malware già presente sull'endpoint; nessuno funziona da remoto non autenticato o rompe la matematica crittografica FIDO2.
Windows spia se stesso: cleartext nel logging service
SpecterOps ha dimostrato una catena Windows-to-Entra ID che permette impersonazione di utenti privilegiati soddisfando i requisiti MFA phishing-resistant. Il vettore è il Windows Event Logging Service, che memorizza firme passkey precedenti in cleartext accessibili a utenti autenticati non privilegiati, inclusi utenti remoti. L'attaccante riutilizza questo material firmato senza estrarre la chiave privata dall'autenticatore hardware.
Il problema è tracciato come CVE-2026-34348, vulnerabilità di information disclosure con punteggio CVSS 6.5 MEDIUM secondo il National Vulnerability Database (vettore: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N). Microsoft ha rilasciato aggiornamento di sicurezza e applicato mitigazioni per passkey relay assertions; SpecterOps considera la catena completa "rotta" dopo gli aggiornamenti di luglio 2026. Il record NVD classifica la debolezza come CWE-693, protection mechanism failure.
Un elemento architetturale amplifica il rischio: Entra ID utilizza JWT come challenges WebAuthn. Questa scelta rende le assertion riutilizzabili in replay, poiché il JWT non è strettamente bound alla sessione originaria. SpecterOps ha presentato i risultati a Black Hat USA 2026 il 5 agosto.
Google Password Manager: la master key che non si può ruotare
Unit 42, il team di ricerca di Palo Alto Networks, ha dimostrato tre attacchi denominati Pass-ta-key contro Google Password Manager in Chrome su Windows. La variante "Golden" è la più grave: recupera la Security Domain Secret (SDS), master key di 32 byte che protegge tutte le passkey sincronizzate dell'utente.
La SDS è temporaneamente presente in memoria processo Chrome durante la re-registration, nonostante Google abbia corretto l'esposizione nei log. Le dimostrazioni sono state sviluppate e validate su Chrome 142; eccettuato il problema di logging corretto, gli attacchi funzionavano sulla stable version al momento della ricerca. Arie Olshtein, senior staff security researcher presso Palo Alto Networks, ha dichiarato via The Hacker News: "No CVE was assigned. Google rarely assigns CVEs to issues that require the device to already be compromised by malware".
Il limite architetturale più rilevante per gli utenti: Google non offre modo di ruotare o revocare la SDS compromessa. Il brief non specifica se la SDS esposta sopravviva a cambio PIN Google Password Manager o cancellazione dati.
Windows Hello for Business: il TPM che non chiede più prove
Dirk-jan Mollema ha dimostrato che malware in sessione Windows già compromessa può usare la chiave Windows Hello for Business protetta da TPM senza produrre nuovo PIN o prompt biometrico. Un processo low-privilege chiama le interfacce crittografiche di Windows per generare assertion WebAuthn fresche, soddisfando Conditional Access rules che richiedono autenticazione phishing-resistant.
La challenge Entra WebAuthn è valida 5 minuti e non è bound a sessione, utente o tenant. L'attaccante può richiederla su sistema controllato e farla firmare sulla macchina vittima. Il token risultante può mancare di device ID claim, permettendo registrazione device e ottenimento di Primary Refresh Token con validità di 90 giorni, continuamente rinnovabile. Mollema ha pubblicato il PoC PowerShell nel repository ROADtools.
Il brief non specifica quali build Windows o modelli di deployment Windows Hello for Business siano stati testati, né se esista CVE o advisory Microsoft dedicato.
"None cracked the math" — The Hacker News riassume il denominatore comune: la crittografia FIDO2/WebAuthn resta intatta, il plumbing di sicurezza attorno no.
Cosa fare adesso
Le organizzazioni che stanno implementando passkey come sostituto passwordless devono intervenire su quattro fronti documentati dal dossier:
- Patchare CVE-2026-34348: applicare gli aggiornamenti Microsoft di luglio 2026 che correggono il logging cleartext e le mitigazioni Entra-side.
- Enforce userVerification=required: eBay ha corretto la validazione UV flag dopo disclosure; GitHub già la impone. Verificare che i propri servizi interni ed esterni non accettino assertion con UV flag bypassabile.
- Monitorare device registration anomale: il token Entra privo di device ID claim è indicatore di abuso Windows Hello for Business da sessione compromessa.
- Trattare memoria browser e store passkey come territorio credential-sensitive: la SDS di 32 byte in memoria Chrome richiede lo stesso livello di protezione riservato alle credenziali tradizionali.
La fretta di Microsoft e il rischio della transizione forzata
La tempistica è politicamente rilevante. Microsoft ha fissato al settembre 2026 l'obbligo di passkey per accessi aziendali e al febbraio 2027 il ritiro definitivo dell'MFA via SMS e voice call. Le ricerche pubblicate il 3 agosto mostrano che synced passkey e device-bound passkey presentano entrambi superfici di attacco implementative su endpoint compromessi.
Il problema non è il protocollo FIDO2, ma la promessa che esso funzioni indipendentemente dalla maturità degli strati circostanti: sistemi operativi che loggano in chiaro, browser che tengono master key in memoria senza rotazione, cloud identity che accetta challenge non bound. La transizione passwordless corre il rischio di sostituire password deboli con passkey debolemente custodite.
Il brief non specifica se le mitigazioni Microsoft Entra-side siano tecnicamente documentate o solo applicate senza pubblicazione, né se SpecterOps abbia ritestato la vulnerabilità replay dopo giugno 2026.
Perché la SDS di Google non si può ruotare
L'assenza di meccanismo di rotazione o revoca per la Security Domain Secret di Google Password Manager crea una asimmetria di rischio persistente. Anche dopo correzione del logging, la SDS resta temporaneamente esposta in memoria durante re-registration. Gli utenti non possono invalidare una SDS potenzialmente compromessa senza migrare interamente a un nuovo account Google — opzione non praticabile per account aziendali o storici.
Questa scelta architetturale trasforma il recupero memoria da vulnerabilità transitoria a debolezza strutturale: l'attaccante che ottiene la SDS ottiene accesso retroattivo e futuro a tutte le passkey sincronizzate, senza possibilità di revoca lato utente.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/new-passkey-attacks-can-recover-synced.html
- https://thomasharris6.wordpress.com/2026/08/10/new-passkey-attacks-can-recover-synced-private-keys-or-bypass-phishing-resistant-mfa/
- https://www.rescana.com/post/pass-ta-key-attacks-expose-google-chrome-and-password-manager-on-windows-to-passkey-theft-and-mfa-bypass
- https://nuclearcoffee.org/new-passkey-attacks-can-recover-synced-private-keys-or-bypass-phishing-resistant-mfa/
- https://www.securityweek.com/the-ai-governance-gap-is-a-leadership-problem-waiting-wont-close-it/
- https://tech-insider.org/pass-ta-key-attack-2026/
- https://nvd.nist.gov/vuln/detail/CVE-2026-34348
- https://thehackernews.com/2026/05/threatsday-bulletin-claude-security.html
- https://thehackernews.com/2026/03/threatsday-bulletin-oauth-trap-edr.html#phishing-resistant-windows-login
- https://thehackernews.com/2026/08/google-password-manager-attacks-could.html
- https://thehackernews.com/2026/08/malware-can-abuse-windows-hello-for.html