Ba nỗ lực nghiên cứu riêng biệt vào tuần trước đã chứng minh những cách thức để đánh bại các lớp bảo vệ Passkey mà không cần phá vỡ hệ thống mật mã mà chúng dựa trên.
Passkey được thiết kế để thay thế mật khẩu có thể tái sử dụng và chống lại Phishing. Tuy nhiên, các cuộc tấn công này đã sử dụng lại các tài liệu xác thực đã ký mà Windows để lộ, lạm dụng hệ thống Passkey đồng bộ qua đám mây từ phần mềm độc hại có sẵn trên máy nạn nhân, và sử dụng khóa Windows Hello for Business từ một phiên người dùng bị xâm nhập mà không cần mã PIN mới hay kiểm tra sinh trắc học. Không có phương pháp nào bẻ khóa các thuật toán toán học.
Tác động của cả ba trường hợp là không giống nhau:
- SpecterOps đã chỉ ra một chuỗi tấn công trên Windows và Microsoft Entra ID có thể mạo danh người dùng đặc quyền trong khi vẫn đáp ứng yêu cầu MFA chống Phishing; chuỗi này sử dụng lại các tài liệu xác thực đã ký thay vì đánh cắp khóa riêng tư (private key) của bộ xác thực.
- Unit 42 đã trình bày các cuộc tấn công chống lại Google Password Manager trong Chrome, bao gồm một lộ trình khôi phục các khóa riêng tư cho các Passkey đã đồng bộ của nạn nhân.
- Nhà nghiên cứu độc lập Dirk-jan Mollema đã cho thấy phần mềm độc hại đang chạy trong một phiên Windows đã đăng nhập có thể sử dụng khóa Windows Hello for Business gắn liền với phần cứng mà không cần yêu cầu người dùng mở khóa lại.
Các phương pháp khắc phục và giảm thiểu cũng khác nhau. Lỗ hổng ghi nhật ký của Windows, CVE-2026-34348, có điểm CVSS là 6.5 và đã có bản cập nhật bảo mật từ Microsoft. Microsoft chia sẻ với The Hacker News rằng họ cũng đã áp dụng các biện pháp giảm thiểu cho vấn đề được báo cáo liên quan đến các xác nhận chuyển tiếp (relay assertions) của Passkey.
Hướng dẫn di chuyển Entra của Microsoft, cập nhật lần cuối vào ngày 3 tháng 8 năm 2026, tiếp tục mô tả Passkey là có khả năng chống lại các cuộc tấn công Replay Attack. Cố vấn công khai của Microsoft liên quan đến CVE-2026-34348 đề cập đến vấn đề của Windows Event Logging Service, trong khi phản hồi của công ty không cung cấp chi tiết kỹ thuật về phạm vi của các biện pháp giảm thiểu riêng biệt phía Entra.
"Chúng tôi đánh giá cao công việc của SpecterOps khi báo cáo vấn đề này thông qua quy trình tiết lộ lỗ hổng có phối hợp. Chúng tôi đã áp dụng các biện pháp giảm thiểu cho vấn đề liên quan đến các xác nhận chuyển tiếp Passkey và tiếp tục đầu tư vào các cải tiến bảo mật trên các phương thức xác thực. Chúng tôi khuyến nghị áp dụng phương pháp truy cập đặc quyền tối thiểu (least-privilege access), sử dụng các phương thức xác thực chống Phishing và duy trì bảo vệ điểm cuối bằng cách áp dụng mô hình bảo mật Zero Trust để được bảo vệ tốt hơn," một phát ngôn viên của Microsoft cho biết.
Các phát hiện của Unit 42 và Mollema cũng cho thấy lý do tại sao không có lựa chọn duy nhất nào giữa Passkey đồng bộ và Passkey gắn liền với thiết bị có thể đóng hoàn toàn bề mặt tấn công rộng lớn hơn.
Thông tin đăng nhập mà Windows lưu giữ
Michael Grafnetter, nhà nghiên cứu bảo mật chính tại SpecterOps, đã trình bày nghiên cứu "Pass-the-Passkey" tại sự kiện Black Hat USA 2026 vào ngày 5 tháng 8.
SpecterOps cho biết Windows đã lưu trữ các chữ ký YubiKey trước đó dưới dạng văn bản thuần túy (cleartext) mà những người dùng không có đặc quyền đã được xác thực, bao gồm cả người dùng từ xa, có thể đọc được. Công ty cho biết việc kết hợp các chữ ký đó với những điểm yếu trong quy trình xác thực Passkey của Microsoft Entra ID cho phép mạo danh người dùng đặc quyền, bất chấp các chính sách yêu cầu MFA chống Phishing.
Vấn đề của Windows được theo dõi dưới mã CVE-2026-34348, một lỗ hổng tiết lộ thông tin trong Windows Event Logging Service. Dữ liệu sản phẩm bị ảnh hưởng của Microsoft bao gồm các bản phát hành trên Windows 10, Windows 11 và Windows Server.
Trong chuỗi tấn công này, kẻ tấn công không cần trích xuất khóa riêng tư từ YubiKey hoặc bộ xác thực khác. Tài liệu nguy hiểm là một chữ ký đã được tạo mà Windows giữ lại và SpecterOps cho biết Entra ID đã chấp nhận trong chuỗi Replay. Đây là một lỗi hẹp hơn so với việc phá vỡ FIDO2, nhưng nó vẫn mang lại kết quả mà các nhà phòng thủ lo ngại: kẻ tấn công xác thực dưới danh nghĩa người khác.
Khóa chính đằng sau các Passkey được đồng bộ của Google
Nghiên cứu "Pass-ta-key" của Unit 42 nhắm vào hệ thống Passkey đồng bộ của Google Password Manager trong Chrome trên Windows. Cả ba cuộc tấn công được mô tả bởi nhóm nghiên cứu đều bắt đầu với phần mềm độc hại đã chạy trên điểm cuối của nạn nhân mà không yêu cầu leo thang đặc quyền lên mức quản trị viên.
Con đường đầu tiên lạm dụng cơ chế định danh thiết bị của Chrome để lấy các chữ ký cần thiết nhằm hoạt động như một ứng dụng Google Password Manager hợp lệ mà không cần mở khóa thiết bị mới hoặc tương tác người dùng. Unit 42 đã trình diễn kỹ thuật này chống lại eBay ngay cả khi trang web yêu cầu xác minh người dùng; sau khi các nhà nghiên cứu báo cáo vấn đề, eBay đã thay đổi quy trình xác thực cờ WebAuthn user-verification.
Biến thể gây hại nhất, Golden Pass-ta-key, nhắm vào Security Domain Secret, một khóa chính 32 byte được sử dụng để bảo vệ các Passkey đã đồng bộ. Unit 42 lần đầu tiên tìm thấy bí mật này bị lộ trong nhật ký thiết bị của Chrome. Google đã xóa nó khỏi đầu ra nhật ký sau báo cáo, nhưng các nhà nghiên cứu cho biết bí mật này vẫn tạm thời xuất hiện trong bộ nhớ tiến trình của Chrome trong quá trình đăng ký lại. Với bí mật này, kẻ tấn công có thể khôi phục các khóa riêng tư Passkey đã đồng bộ của nạn nhân.
Unit 42 cho biết triển khai hiện tại của Google không cung cấp cách nào để xoay vòng hoặc thu hồi Security Domain Secret. Điều này khiến sự xâm nhập trở nên dai dẳng hơn so với một lần đăng nhập bị đánh cắp đơn lẻ.
Mượn Windows Hello mà không cần mã PIN
Nghiên cứu của Mollema tập trung vào Windows Hello for Business. Trên hầu hết các thiết bị Windows hiện đại, khóa hỗ trợ của nó được bảo vệ bởi Trusted Platform Module (TPM) và không thể xuất ra một cách đơn giản. Tuy nhiên, phần mềm trong phiên làm việc của nạn nhân vẫn có thể sử dụng khóa không thể xuất đó.
Mollema phát hiện ra rằng một tiến trình đặc quyền thấp trong một phiên người dùng đã bị xâm nhập có thể gọi các giao diện mã hóa Windows để sử dụng khóa Windows Hello for Business mà không tạo ra mã PIN mới hoặc lời nhắc sinh trắc học. Sau đó, anh ta sử dụng khóa này như một thông tin xác thực FIDO2 chống lại Microsoft Entra ID.
Trong quy trình đó, Mollema thấy rằng thử thách WebAuthn của Entra có giá trị trong năm phút và không bị ràng buộc với một phiên, người dùng hoặc tenant nào. Do đó, một thử thách được yêu cầu trên hệ thống của kẻ tấn công có thể được đưa đến máy của nạn nhân, được ký tại đó bằng khóa Windows Hello và gửi lại dưới dạng một xác nhận WebAuthn assertion. Việc đăng nhập kết quả có thể đáp ứng các quy tắc Conditional Access yêu cầu xác thực chống Phishing.
Mollema cũng phát hiện ra rằng mã thông báo kết quả có thể thiếu xác nhận ID thiết bị, mở ra một con đường thông qua đăng ký thiết bị để đạt được Primary Refresh Token và sự duy trì bổ sung.
Mật mã mạnh, môi trường xung quanh yếu hơn
Ba phát hiện này không nên bị coi là cùng một lỗi Replay duy nhất.
SpecterOps đã chứng minh sự nguy hiểm của các xác nhận đã ký có thể tái sử dụng bị Windows để lộ. Unit 42 đã cho thấy phần mềm độc hại thao túng niềm tin của máy khách, xử lý xác minh người dùng và bảo vệ khóa đồng bộ. Mollema cho thấy phần mềm bên trong một phiên Windows đang hoạt động sử dụng khóa hợp lệ gắn liền với phần cứng để tạo ra tài liệu xác thực mới.
Các biện pháp kiểm soát xung quanh đó vẫn có thể để lại cho kẻ tấn công các xác nhận có thể tái sử dụng, khóa riêng tư Passkey đã đồng bộ, hoặc cách để tạo xác thực mới từ một phiên Windows bị xâm nhập.
Đối với Windows, hành động ngay lập tức là cài đặt các bản cập nhật bảo mật của Microsoft cho CVE-2026-34348. Các dịch vụ chấp nhận xác nhận WebAuthn nên thực thi các yêu cầu xác minh người dùng mà họ yêu cầu. Các biện pháp phòng thủ điểm cuối cần coi kho lưu trữ Passkey, quy trình khôi phục và bộ nhớ trình duyệt là các khu vực nhạy cảm với thông tin xác thực.
Microsoft đang tăng cường nỗ lực để thực hiện đúng các chi tiết triển khai này. Bắt đầu từ ngày 1 tháng 9 năm 2026, người dùng Entra ID hiện đang bật xác thực qua SMS hoặc giọng nói sẽ được tự động bật Passkey và được nhắc đăng ký chúng. Việc cung cấp SMS và giọng nói do Microsoft thực hiện dự kiến sẽ ngừng hoạt động vào ngày 1 tháng 2 năm 2027.
