Investigadores descubren ataques contra las passkeys de Google: ¿deberíamos preocuparnos?
Promovidas como el futuro de la autenticación, las passkeys debían poner fin a las contraseñas comprometidas, al phishing y a las filtraciones de datos. Google ha afirmado durante años que esta tecnología no puede ser clonada ni transmitida accidentalmente a un atacante. Sin embargo, un nuevo estudio muestra que la realidad es más compleja.
Investigadores en ciberseguridad han revelado una serie de ataques denominada Pass-ta-key, que puede eludir algunas protecciones de las passkeys sincronizadas a través de Google Password Manager. Si bien la criptografía permanece intacta, el trabajo demuestra que un ordenador ya infectado por un malware puede comprometer el ecosistema que rodea a estas credenciales.
Las passkeys no están vulneradas… pero su entorno sí puede serlo
El primer punto importante es que los investigadores no lograron romper la tecnología criptográfica de las passkeys. Los ataques se dirigen más hacia la manera en que Google gestiona la confianza otorgada a un dispositivo, la sincronización de las passkeys, la recuperación de cuentas y el proceso de validación de la identidad del usuario.
En otras palabras, el problema no concierne directamente a la clave criptográfica en sí, sino a la infraestructura software que la utiliza. No obstante, todos los ataques descritos requieren una condición esencial: un software malicioso debe estar ya presente en el ordenador con Windows de la víctima.
Cuando un malware se hace pasar por tu ordenador
La primera técnica, denominada Pass-ta-key, explota la relación de confianza entre Chrome, el módulo de seguridad TPM (Trusted Platform Module) y Google Password Manager. El malware puede utilizar la identidad hardware del ordenador para solicitar una autenticación válida al servicio en la nube de Google.
Lo más preocupante es que esta operación no requiere ninguna autenticación biométrica, ningún código PIN, ni desbloqueo del dispositivo, ni interacción de la víctima. A los ojos de Google, la solicitud parece proceder de un ordenador ya aprobado.
Los investigadores también encontraron que algunos sitios verificaban correctamente si el usuario había validado realmente su identidad, mientras que otros aceptaban la conexión a pesar de la ausencia de esta verificación. eBay corrigió esta vulnerabilidad tras su divulgación.
Un ataque aún más avanzado
Los investigadores describen también una variante más sofisticada llamada Silver Pass-ta-key. Esta técnica permitiría a un atacante registrar una clave de validación que él controla. Esta sería reconocida como una prueba legítima de que el usuario confirmó su identidad a través de un código PIN o una autenticación biométrica.
El atacante podría entonces acceder a la cuenta desde otro ordenador, incluso después de que el dispositivo original ya no esté conectado.
El escenario más inquietante: recuperar la clave maestra
El tercer ataque, Golden Pass-ta-key, es de lejos el más preocupante. Este apunta a la clave maestra utilizada por Google para cifrar todas las passkeys sincronizadas dentro de una cuenta. Los investigadores habían descubierto inicialmente que esta clave aparecía en texto claro en determinados registros internos de Chrome.
Google eliminó rápidamente esta exposición.
No obstante, según los investigadores, esta clave seguiría apareciendo temporalmente en la memoria RAM de Chrome durante ciertas operaciones, como el registro de un nuevo dispositivo o la recuperación de una cuenta.
Un malware lo suficientemente sofisticado podría entonces recuperar esta clave maestra, descifrar las passkeys sincronizadas y potencialmente acceder a futuras passkeys asociadas a la misma cuenta. Más preocupante aún, los investigadores indican que Google actualmente no ofrece ningún mecanismo para revocar o renovar esta clave maestra una vez comprometida.
A pesar de todo, las passkeys son mucho más seguras que las contraseñas
Este trabajo no significa que las passkeys se hayan vuelto inútiles. Siguen siendo ampliamente superiores a las contraseñas tradicionales frente a los ataques más comunes: phishing, reutilización de contraseñas, bases de datos comprometidas y ataques por fuerza bruta.
Lo que revela este estudio es que ningún método de autenticación es totalmente invulnerable cuando un dispositivo ya está comprometido. En este escenario, el malware no ataca las passkeys en sí, sino que explota los mecanismos que permiten su uso.
Una nueva realidad para la ciberseguridad
El estudio recuerda una regla fundamental de la seguridad informática: la solidez de una tecnología depende tanto de su entorno como de su cifrado. Las passkeys siguen siendo, hoy por hoy, una de las mejores alternativas a las contraseñas clásicas. Sin embargo, no pueden proteger un ordenador ya infectado por software malicioso que es capaz de interactuar directamente con el navegador y el sistema operativo.
Para Google, estas investigaciones son una señal importante. Tras haber reforzado Chrome al eliminar información sensible de los registros internos, el desafío ahora es asegurar aún más los mecanismos de sincronización y recuperación. A medida que las passkeys se convierten en la norma, son precisamente estos componentes periféricos los que atraerán cada vez más la atención de los investigadores… y de los ciberdelincuentes.
