Celah Pass-ta-key Ancam Keamanan Passkey Google Chrome, Ini Penjelasannya

Passkey selama ini dikenal sebagai metode autentikasi yang lebih aman dibandingkan penggunaan kata sandi konvensional. Namun, penelitian terbaru mengungkap adanya celah keamanan yang dapat dimanfaatkan peretas untuk membajak sistem passkey pada Google Password Manager melalui teknik yang dinamai Pass-ta-key.

Menurut tim peneliti keamanan siber Unit 42, eksploitasi tersebut tidak menyerang teknologi passkey secara langsung, melainkan memanfaatkan kelemahan pada proses autentikasi dan pengelolaan memori di Google Chrome ketika perangkat pengguna telah terinfeksi malware.

Serangan Hanya Berhasil Jika Perangkat Sudah Terinfeksi Malware

Berdasarkan hasil penelitian, komputer Windows yang masih bersih dari malware tidak rentan terhadap serangan ini. Ancaman baru muncul ketika perangkat korban telah lebih dahulu disusupi perangkat lunak berbahaya.

Dalam kondisi tersebut, malware dapat memanipulasi proses autentikasi sehingga situs web menganggap passkey yang digunakan berasal dari perangkat asli pengguna, padahal identitas tersebut telah dibajak.

Menurut Unit 42, terdapat tiga metode utama dalam serangan Pass-ta-key.

Metode pertama dikenal sebagai Pass-ta-key dasar. Pada tahap ini malware mengekspor kunci identitas ke media penyimpanan sehingga tidak lagi terlindungi oleh modul keamanan perangkat atau Trusted Platform Module (TPM). Setelah itu malware dapat melakukan autentikasi tanpa persetujuan pengguna pada situs yang tidak memverifikasi proses autentikasi secara menyeluruh.

Metode kedua disebut Silver Pass-ta-key. Teknik ini memanfaatkan kondisi sistem Windows yang dibuat seolah-olah proses verifikasi biometrik telah selesai. Dalam keadaan tersebut, malware dapat mendaftarkan passkey miliknya sendiri sehingga autentikasi berikutnya dapat dilakukan tanpa sepengetahuan pemilik perangkat.

Sementara itu, metode ketiga yang disebut Golden Pass-ta-key dinilai paling berbahaya. Serangan ini menargetkan Security Domain Secret (SDS) yang masih tersimpan di memori proses Google Chrome. Jika data tersebut berhasil dicuri, pelaku dapat memperoleh akses terhadap database passkey yang disinkronkan dan bahkan mendekripsi passkey yang dibuat pengguna di masa mendatang menggunakan SDS yang sama.

Passkey Tetap Lebih Aman Dibanding Password

Menurut Unit 42, temuan tersebut telah dilaporkan kepada Google agar dapat segera ditindaklanjuti. Peneliti juga mengingatkan bahwa penyedia layanan lain yang menggunakan model autentikator berbasis cloud serupa berpotensi menghadapi risiko yang sama.

Meski demikian, teknologi passkey tetap dianggap lebih aman dibandingkan penggunaan password tradisional karena menghilangkan berbagai risiko seperti pencurian kata sandi melalui phishing maupun penggunaan ulang password di banyak layanan.

Berdasarkan laporan 9to5Google, kelemahan yang ditemukan lebih banyak berkaitan dengan proses onboarding dan pengelolaan memori aplikasi, bukan pada standar teknologi passkey itu sendiri. Artinya, ancaman baru dapat terjadi apabila komputer pengguna telah lebih dahulu dikompromikan oleh malware.

Para pakar keamanan siber menyarankan pengguna untuk tetap menjaga perangkat tetap bersih dari malware, rutin memperbarui sistem operasi dan browser, serta menghindari pemasangan aplikasi dari sumber yang tidak terpercaya. Langkah tersebut menjadi perlindungan awal agar eksploitasi seperti Pass-ta-key tidak dapat dijalankan pada perangkat pengguna.

Referensi:
DetikINET