Pematangsiantar, MISTAR.ID – Teknologi passkey selama ini dikenal sebagai pengganti kata sandi yang lebih aman karena memanfaatkan autentikasi biometrik dan kunci kriptografi. Namun, penelitian terbaru mengungkap bahwa sistem tersebut tetap memiliki celah keamanan jika perangkat pengguna telah terinfeksi malware.

Tim peneliti keamanan siber dari Unit 42 menemukan metode serangan baru yang diberi nama Pass-ta-key. Teknik ini memungkinkan peretas memanipulasi sistem autentikasi passkey berbasis Google Password Manager di Chrome sehingga situs web menganggap identitas digital yang digunakan merupakan milik pengguna asli.

Serangan Membutuhkan Perangkat yang Terinfeksi Malware

Menurut hasil penelitian, serangan Pass-ta-key tidak dapat dilakukan pada komputer yang bersih.

Agar berhasil, perangkat Windows milik korban harus lebih dulu terinfeksi malware. Setelah berhasil masuk ke sistem, perangkat lunak berbahaya tersebut dapat mengintervensi proses autentikasi passkey, bahkan jika kunci keamanan awalnya dibuat pada perangkat yang aman.

Kondisi ini menunjukkan bahwa keamanan passkey tetap sangat bergantung pada integritas sistem operasi dan perangkat yang digunakan.

Tiga Teknik Serangan Pass-ta-key

Peneliti menjelaskan bahwa terdapat tiga varian serangan yang memiliki tingkat kompleksitas berbeda.

1. Pass-ta-key Dasar

Pada metode pertama, malware mengambil alih akun dengan mengekspor kunci identitas ke media penyimpanan, bukan memanfaatkan modul keamanan perangkat keras seperti Trusted Platform Module (TPM).

Setelah itu, malware melakukan proses autentikasi ke Google Password Manager tanpa memerlukan persetujuan langsung dari pengguna.

Teknik ini hanya berhasil pada layanan tertentu yang tidak melakukan verifikasi menyeluruh terhadap proses autentikasi pengguna.

2. Silver Pass-ta-key

Serangan berikutnya memanfaatkan celah pada proses autentikasi biometrik.

Malware membuat sistem Windows tetap berada dalam kondisi tertentu sehingga proses verifikasi pengguna belum dianggap selesai. Dalam situasi tersebut, perangkat lunak berbahaya dapat mendaftarkan passkey miliknya sendiri.

Akibatnya, autentikasi menggunakan kunci buatan peretas dapat diterima sebagai identitas yang sah.

3. Golden Pass-ta-key

Varian paling berbahaya adalah Golden Pass-ta-key.

Metode ini menyasar Security Domain Secret (SDS), yaitu data penting yang digunakan untuk mengenkripsi passkey yang tersimpan di Google Password Manager.

Peneliti menemukan bahwa informasi SDS masih dapat ditemukan di memori proses Chrome. Jika malware berhasil mencurinya, peretas dapat memperoleh akses ke seluruh database passkey yang tersinkronisasi.

Lebih berbahaya lagi, data tersebut memungkinkan penyerang mendekripsi passkey baru yang dibuat di masa mendatang hingga pengguna membuat SDS baru.

Google Sudah Menerima Laporan

Unit 42 menyatakan telah melaporkan seluruh temuan tersebut kepada Google.

Peneliti juga mengingatkan bahwa penyedia layanan lain yang menggunakan autentikator berbasis cloud dengan mekanisme serupa kemungkinan menghadapi risiko keamanan yang sama.

Hingga kini belum ada informasi mengenai penyalahgunaan celah tersebut dalam serangan nyata terhadap pengguna.

Passkey Tetap Lebih Aman dari Password

Meski ditemukan potensi eksploitasi, peneliti menegaskan bahwa passkey tetap menawarkan tingkat keamanan lebih tinggi dibandingkan kata sandi konvensional.

Teknologi ini masih mampu mengurangi berbagai risiko seperti pencurian password, phishing, maupun kebocoran kredensial yang selama ini menjadi ancaman utama pengguna internet.

Namun demikian, kasus Pass-ta-key menjadi pengingat bahwa perlindungan perangkat dari malware tetap menjadi faktor penting. Pengguna disarankan selalu memperbarui sistem operasi, menggunakan perangkat lunak keamanan terpercaya, serta menghindari mengunduh aplikasi dari sumber yang tidak resmi.

Judul SEO:

Celah Pass-ta-key Ancam Passkey Google Chrome, Peneliti Ungkap Tiga Metode Serangan Malware

Meta Description (140 karakter):

Peneliti menemukan celah Pass-ta-key yang mengancam passkey Google Chrome dan memungkinkan malware membajak autentikasi pengguna.

Tag:

Passkey, Google Chrome, Google Password Manager, Keamanan Siber, Malware