Peneliti Temukan Celah Keamanan Passkey Google Chrome dengan Serangan Pass-ta-key

Passkey yang dianggap lebih aman dari kata sandi tradisional ditemukan memiliki celah keamanan oleh peneliti siber dari Unit 42 pada sistem passkey berbasis Chrome milik Google, dilansir dari Detik iNET pada Kamis (6/8/2026).

Peneliti menemukan tiga varian serangan yang disebut Pass-ta-key yang memungkinkan peretas memanipulasi autentikasi pengguna melalui malware di mesin Windows korban. Komputer yang bebas malware tidak rentan terhadap serangan ini.

Serangan pertama, Pass-ta-key dasar, mengeksploitasi ekspor kunci identitas ke disk tanpa perlindungan hardware TPM dan berhasil membuka autentikasi Google Password Manager tanpa persetujuan pengguna, terutama pada situs yang tidak memvalidasi proses verifikasi pengguna.

Serangan kedua, Silver Pass-ta-key, menipu pengelola kata sandi untuk menganggap perangkat sudah dibuka dengan biometrik, meskipun proses verifikasi belum selesai, sehingga malware dapat mendaftarkan kunci peretas yang akan disetujui di masa depan.

Serangan ketiga dan paling berbahaya, Golden Pass-ta-key, menargetkan proses enkripsi Security Domain Secret (SDS) yang masih tersimpan di memori Chrome. Malware dapat mencuri data ini dan mengakses seluruh database passkey yang disinkronkan pengguna.

Peneliti Unit 42 mengatakan, "Serangan ini fatal karena SDS yang dicuri berfungsi sebagai cetak biru yang memungkinkan dekripsi semua passkey di masa depan kecuali SDS baru dibuat." Mereka telah melaporkan temuan ini ke Google dan mengingatkan risiko serupa mungkin terjadi pada penyedia layanan autentikator cloud lain.

Meski demikian, teknologi passkey tetap mengurangi banyak kerentanan kata sandi konvensional. Kelemahan yang ditemukan terkait proses onboarding dan pengelolaan memori Chrome, terutama jika perangkat sudah terinfeksi malware, menurut Detik iNET mengutip 9to5Google.