Pass-ta-key Golden Attack: Google Passkey'ler Nasıl Çalınıyor?

Google'ın passkey sistemi güvenliğin geleceği olarak sunulsa da, araştırmacılar yeni bir açığı ortaya çıkardı: Pass-ta-key Golden Attack. Bu saldırı, Google Şifre Yöneticisi'nde senkronize edilen passkey'leri hedef alıyor ve bir saldırganın cihaza fiziksel erişim elde etmesi durumunda çevrimdışı hesap devralmasını mümkün kılıyor.

Passkey'ler, şifre yerine biyometrik veya PIN-based doğrulama kullanarak daha güvenli olması gerekiyordu. Ama Google'ın bulut senkronizasyonu, bu anahtarları cihazda şifrelenmiş halde saklıyor. Araştırma, bu şifrelenmiş verilerin belirli koşullar altında çözülebileceğini gösteriyor. Saldırgan, hedef cihaza erişim sağladıktan sonra passkey'leri çıkartabiliyor ve daha sonra çevrimdışı ortamda şifreyi kırma işlemini gerçekleştirebiliyor.

Saldırının kritik noktası, Google'ın cihaz kilidi (PIN/biyometri) ile passkey şifrelemesini aynı mekanizmaya bağlı hale getirmesidir. Eğer bir saldırgan cihazın kilidini kırabilirse, passkey'lere de ulaşabilir. Özellikle eski Android cihazlarda veya zayıf PIN koruması olan sistemlerde bu risk daha yüksek.

Google henüz resmi bir açıklama yapmamış olsa da, güvenlik topluluğu bu bulguyu ciddiye alıyor. Pratik olarak, passkey'leri kullananlar şu adımları atabilir: Cihaz kilidini güçlü bir PIN veya biyometri ile koru, düzenli olarak Google Hesabı güvenlik ayarlarını kontrol et ve şüpheli giriş denemelerine karşı iki aşamalı doğrulamayı etkinleştir.

Bu açık, passkey teknolojisinin henüz mükemmel olmadığını hatırlatıyor. Fiziksel güvenlik ve dijital güvenliğin birleştiği noktada, tek bir zayıf halka tüm sistemi tehlikeye atabiliyor.