// TOM'S HARDWARE ITALIA — CYBERSECURITY
Passkey a rischio: 7 falle aprono accessi permanenti
Un aggressore conosciuto che dispone temporaneamente di un dispositivo e del relativo PIN può sfruttare implementazioni immature delle passkey per conservare l’accesso agli account della vittima. Il rischio emerge da uno studio di Alaa Daffalla, Arkaprabha Bhattacharya, Jacob Wilder, Rahul Chatterjee, Nicola Dell, Rosanna Bellini e Thomas Ristenpart, pubblicato negli atti del 34° USENIX Security Symposium del 2025. Lo scenario riguarda soprattutto abusi interpersonali, nei quali l’autore ha già accesso fisico al dispositivo o ne conosce il codice di sblocco.
Il gruppo ha sviluppato un metodo in sei fasi per valutare quanto una funzione digitale possa prestarsi ad abusi, applicandolo poi alle passkey. L’analisi ha coinvolto complessivamente 19 servizi; per 15 di questi sono state condotte 87 procedure guidate su quattro piattaforme client: iOS, macOS, Android e Windows. I test hanno esaminato sia le operazioni disponibili sui dispositivi sia le interfacce offerte dai servizi per controllare, identificare e revocare le credenziali.
Le passkey si basano su coppie di chiavi crittografiche e non richiedono al servizio di conservare un segreto condiviso equivalente alla password. Le credenziali FIDO2 sono inoltre legate al dominio per cui vengono create, caratteristica progettata per contrastare il phishing. Gli autori precisano quindi che le passkey rimangono più resistenti delle password contro phishing, credential stuffing e compromissioni dei database. Le criticità individuate dipendono soprattutto dalle modalità di gestione e dalle interfacce disponibili.
I ricercatori hanno classificato sette vettori di abuso: tre relativi ad accessi non autorizzati, due alla negazione del servizio e due alla manipolazione della vittima, compreso il gaslighting. Con un dispositivo sbloccabile tramite PIN, un aggressore può aggiungere i propri dati biometrici oppure copiare una passkey su un altro dispositivo. In determinate implementazioni, la credenziale duplicata permette di mantenere l’accesso anche dopo che la vittima ha effettuato il logout.
Le interfacce analizzate complicano anche il controllo successivo dell’account. Nessuno dei servizi indicava chiaramente quale passkey fosse stata usata per autenticare una determinata sessione, mentre la revoca della credenziale non terminava sempre le sessioni già aperte. Tra i servizi esaminati, solo eBay revocava automaticamente le passkey dopo il ripristino della password. Cambiare la password, quindi, non garantiva in tutti i casi la rimozione delle credenziali aggiunte da un’altra persona.
Nei test su CVS, Porkbun e TikTok, il gruppo non ha individuato un metodo efficace per rilevare e revocare l’accesso ottenuto attraverso una passkey clonata. La gestione varia però da servizio a servizio: per un account Google, per esempio, sono disponibili istruzioni ufficiali per controllare e rimuovere le passkey associate a dispositivi persi o condivisi. Lo studio circoscrive il problema alle implementazioni, alla scarsa trasparenza delle sessioni e a modelli di minaccia interpersonali che le protezioni contro gli attacchi remoti non coprono da sole.
Aggiungi Tom's Hardware alle tue fonti preferite su Google