JBNews.id ā Sekelompok peneliti keamanan siber dari Unit 42 berhasil menembus sistem passkey berbasis Chrome milik Google menggunakan metode serangan bernama Pass-ta-key. Eksploitasi ini membuka celah yang memungkinkan peretas mengakses Google Password Manager dan membajak passkey pengguna, meskipun teknologi ini selama ini dianggap sebagai alternatif yang lebih aman dibandingkan kata sandi tradisional.
Temuan ini menjadi perhatian serius karena passkey semakin populer dan diadopsi luas oleh berbagai layanan digital. Sistem yang menggantikan kata sandi dengan tanda tangan biometrik pada perangkat yang diautentikasi ini terbukti tangguh, namun penelitian terbaru mengungkap kelemahan tersembunyi yang dapat dieksploitasi oleh perangkat lunak berbahaya.
Tim peneliti Unit 42 menemukan beberapa kelemahan di Google Password Manager yang memungkinkan peretas memanipulasi titik akhir dan mengelabui situs web agar mengira passkey berbasis Chrome milik pengguna adalah asli, padahal sudah dibajak. Temuan ini dilaporkan langsung kepada Google, dan peneliti mencatat bahwa penyedia layanan lain dengan model autentikator cloud serupa mungkin menghadapi risiko yang sama.
Syarat Utama Serangan Pass-ta-key
Syarat utama dari serangan ini adalah mesin Windows korban harus sudah terinfeksi oleh malware. Komputer yang bersih tidak akan rentan saat passkey digunakan. Namun, peneliti menemukan bahwa perangkat lunak berbahaya dapat menyerang passkey pada tahap autentikasi, bahkan jika kunci tersebut pada awalnya dibuat di perangkat yang sehat.
Laporan dari Unit 42 merinci tiga varian serangan Pass-ta-key yang mengeksploitasi sistem ini secara bertahap. Setiap metode memiliki tingkat kompleksitas dan dampak yang berbeda, mulai dari pengambilalihan akun hingga dekripsi seluruh database passkey pengguna.
Tiga Varian Serangan Pass-ta-key
Metode pertama adalah Pass-ta-key dasar. Serangan ini melibatkan pengambilalihan akun menggunakan malware di perangkat. Kunci identitas diekspor ke disk alih-alih menggunakan hardware pelindung TPM yang biasanya mengamankan kunci tersebut. Malware kemudian melakukan autentikasi dengan Google Password Manager tanpa persetujuan pengguna. Peneliti mencatat metode pertama ini hanya berfungsi pada situs seperti eBay karena situs tersebut tidak memvalidasi bendera yang menyatakan apakah proses verifikasi pengguna benar-benar terjadi.
Metode kedua disebut Silver Pass-ta-key. Serangan ini selangkah lebih maju dengan menipu pengelola kata sandi agar menganggap pengguna telah membuka kunci perangkat menggunakan biometrik. Mesin Windows yang terinfeksi dibuat tetap dalam kondisi tertunda, di mana proses verifikasi pengguna tidak ditandai sebagai selesai. Dalam status tersebut, malware dapat mulai mendaftarkan kuncinya sendiri, sehingga setiap kunci dari peretas di masa mendatang akan disetujui.
Metode ketiga dan yang paling berbahaya adalah Golden Pass-ta-key. Serangan ini menargetkan proses enkripsi yang dikenal sebagai Security Domain Secret (SDS). Meskipun Google telah berupaya menghapusnya, informasi rahasia ini masih tertinggal dan terekspos di memori proses Chrome. Malware dapat mencuri data tersebut dan mengumpulkan seluruh database passkey pengguna yang disinkronkan.
Serangan terakhir ini sangat fatal karena SDS yang dicuri bertindak sebagai cetak biru. Artinya, setiap passkey yang dibuat di masa mendatang melalui Google Password Manager dapat dengan mudah didekripsi oleh peretas, kecuali pengguna menghasilkan SDS yang baru.
Baca Juga:
Meskipun temuan ini mengejutkan, passkey pada dasarnya tidak menjadi kurang aman. Teknologi ini masih berhasil memotong sebagian besar kerentanan yang sering ditinggalkan oleh kata sandi konvensional. Hanya saja, kelemahan pada proses onboarding dan sistem memori Chrome membuktikan bahwa sistem ini masih rentan terhadap eksploitasi jika perangkat keras pengguna sudah disusupi oleh malware.
Kelompok peneliti Unit 42 telah menghubungi Google untuk melaporkan eksploitasi yang ditemukan. Mereka juga mencatat bahwa penyedia layanan lain yang menggunakan model autentikator cloud serupa mungkin menghadapi risiko yang sama dengan yang ditemukan pada Google Password Manager.
Bagi pengguna yang khawatir dengan keamanan akun mereka, penting untuk memahami bahwa risiko utama berasal dari perangkat yang sudah terinfeksi malware. Menjaga kebersihan perangkat dari perangkat lunak berbahaya menjadi langkah pertahanan utama. Pengguna juga perlu mewaspadai berbagai bentuk serangan siber lainnya, termasuk risiko yang terkait dengan keamanan data digital secara menyeluruh.
Ancaman keamanan siber terus berkembang seiring dengan meningkatnya adopsi teknologi baru. Temuan Unit 42 ini menjadi pengingat bahwa tidak ada sistem yang sepenuhnya kebal terhadap eksploitasi, terutama ketika perangkat keras pengguna sudah dikompromikan. Situasi ini juga menegaskan pentingnya kewaspadaan berlapis dalam melindungi data pribadi, termasuk memahami risiko yang mungkin timbul dari pengelolaan kata sandi di berbagai perangkat.
Implikasi dari temuan ini cukup luas. Bagi pengguna individu, risiko terbesar adalah kehilangan akses ke akun-akun penting jika perangkat mereka terinfeksi malware. Bagi korporasi, temuan ini menyoroti pentingnya kebijakan keamanan perangkat yang ketat, terutama untuk karyawan yang menggunakan perangkat Windows dalam lingkungan kerja.
Sementara itu, Google diharapkan segera merespons temuan ini dengan menambal celah keamanan yang ditemukan. Respons cepat dari penyedia layanan menjadi kunci untuk meminimalkan risiko sebelum serangan Pass-ta-key menyebar lebih luas di kalangan peretas.
