Serangan Passkey Baru Bisa Pulihkan Kunci Privat Sinkron atau Lewati MFA Anti-Phishing

Serangan passkey baru yang ditemukan oleh beberapa tim peneliti pada pekan lalu menunjukkan cara-cara baru untuk melewati sistem autentikasi multifaktor (MFA) yang tahan terhadap phishing tanpa harus memecahkan kriptografi FIDO2 yang menjadi dasar teknologi tersebut.

Passkey dirancang sebagai pengganti kata sandi yang dapat digunakan ulang dan memiliki kemampuan untuk menahan serangan phishing. Namun, serangan-serangan ini memanfaatkan sistem log Windows yang mengekspos tanda tangan autentikasi, menyalahgunakan sistem sinkronisasi passkey berbasis cloud melalui malware yang sudah berjalan di perangkat korban, serta menggunakan kunci Windows Hello for Business yang terikat perangkat dari sesi pengguna yang sudah terkompromi tanpa perlu verifikasi PIN atau biometrik baru.

Serangan Berbeda dengan Dampak Beragam

Tiga penelitian terpisah mengungkapkan celah yang berbeda-beda:

• SpecterOps menunjukkan rantai serangan pada Windows dan Microsoft Entra ID yang memungkinkan penyerang berperan sebagai pengguna dengan hak istimewa sambil tetap melewati MFA anti-phishing. Rantai ini menggunakan ulang tanda tangan autentikasi yang sudah ada, bukan mencuri kunci privat autentikator.
• Unit 42 mengidentifikasi serangan terhadap Google Password Manager di Chrome, termasuk cara untuk memulihkan kunci privat dari passkey yang telah disinkronkan korban.
• Peneliti independen Dirk-jan Mollema menemukan bahwa malware yang sudah berjalan di sesi Windows yang masuk dapat menggunakan kunci Windows Hello for Business yang terikat perangkat tanpa memunculkan prompt PIN atau biometrik baru.

Dampak dan cara mitigasi dari ketiga serangan ini juga berbeda-beda. Misalnya, Microsoft telah merilis pembaruan keamanan untuk kerentanan CVE-2026-34348 yang terkait dengan layanan Windows Event Logging.

"Kami mengapresiasi kerja SpecterOps yang melaporkan masalah ini secara terkoordinasi. Kami telah menerapkan mitigasi untuk masalah terkait passkey relay assertions dan terus menginvestasikan peningkatan keamanan di berbagai metode autentikasi," kata juru bicara Microsoft kepada The Hacker News.

Rantai Serangan Windows dan Entra ID

Michael Grafnetter, peneliti utama SpecterOps, memaparkan riset "Pass-the-Passkey" di konferensi Black Hat USA 2026. Ia menemukan bahwa Windows menyimpan tanda tangan YubiKey yang pernah digunakan dalam bentuk teks jelas, sehingga pengguna tanpa hak istimewa, termasuk dari jarak jauh, dapat membacanya.

Dengan menggabungkan tanda tangan tersebut dan kelemahan pada validasi passkey di Microsoft Entra ID, penyerang dapat menyamar sebagai pengguna dengan hak istimewa walaupun sistem MFA anti-phishing diterapkan. Namun, penyerang tidak perlu mencuri kunci privat autentikator, melainkan hanya menggunakan tanda tangan yang sudah ada sebelumnya.

Kerentanan ini dilacak sebagai CVE-2026-34348 dengan skor CVSS 6.5, mencakup Windows 10, Windows 11, dan Windows Server. Meski begitu, efektivitas rantai serangan ini bisa berbeda pada tiap versi Windows.

Kunci Master Sinkronisasi Passkey Google

Penelitian Unit 42 menyoroti sistem sinkronisasi passkey dalam Google Password Manager di Chrome pada Windows. Ketiga jalur serangan mereka bermula dari malware yang sudah berjalan di perangkat korban tanpa perlu eskalasi hak admin.

Serangan pertama memanfaatkan sistem identitas perangkat Chrome untuk mendapatkan tanda tangan yang dibutuhkan agar dapat bertindak seperti klien Google Password Manager asli tanpa membuka kunci perangkat atau interaksi pengguna baru.

Varian paling berbahaya, Golden Pass-ta-key, menargetkan Security Domain Secret — sebuah kunci master 32-byte yang melindungi passkey yang tersinkronisasi. Kunci ini awalnya ditemukan terekspos di log perangkat Chrome, yang kemudian dihapus Google setelah laporan. Namun, kunci ini masih sempat ada sementara di memori proses Chrome saat pendaftaran ulang passkey berlangsung.

Dengan kunci ini, penyerang bisa memulihkan kunci privat passkey yang tersinkronisasi milik korban. Unit 42 juga menyoroti bahwa Google belum menyediakan mekanisme rotasi atau pencabutan Security Domain Secret, sehingga kompromi ini bisa bertahan lama.

Meminjam Windows Hello Tanpa PIN

Peneliti independen Mollema fokus pada Windows Hello for Business. Meski kunci autentikasi ini terikat perangkat dan dilindungi oleh Trusted Platform Module (TPM), perangkat lunak yang berjalan di sesi pengguna yang sudah terkompromi masih bisa menggunakan kunci ini.

Ia menemukan bahwa proses dengan hak rendah bisa memanfaatkan antarmuka kriptografi Windows untuk menggunakan kunci Windows Hello tanpa memicu permintaan PIN atau biometrik baru. Selanjutnya, kunci ini bisa dipakai sebagai kredensial FIDO2 terhadap Microsoft Entra ID.

Dalam proses tersebut, tantangan WebAuthn dari Entra berlaku selama lima menit dan tidak terikat sesi, pengguna, atau penyewa tertentu. Ini memungkinkan penyerang mengambil tantangan dari sistemnya sendiri, membawanya ke mesin korban untuk ditandatangani, dan mengembalikan hasilnya sebagai autentikasi yang valid, sehingga melewati aturan akses bersyarat yang mengharuskan autentikasi anti-phishing.

Mollema juga menemukan bahwa token yang dihasilkan bisa tanpa klaim ID perangkat, membuka jalan untuk pendaftaran perangkat baru dan mendapatkan token penyegaran primer (Primary Refresh Token) yang memberi akses lebih lama.

Kryptografi Kuat, Namun Lingkungan Rawan

Ketiga temuan ini tidak bisa disimpulkan sebagai satu jenis serangan replay tunggal. Mereka menunjukkan bahwa walaupun kriptografi FIDO2 kuat, implementasi dan lingkungan di sekitarnya masih bisa menimbulkan celah keamanan serius.

• SpecterOps memperlihatkan risiko tanda tangan yang dapat digunakan ulang karena disimpan secara tidak aman oleh Windows dan diterima oleh jalur autentikasi cloud.
• Unit 42 mengungkap bagaimana malware dapat memanipulasi mekanisme kepercayaan klien dan penanganan verifikasi pengguna di browser.
• Mollema menunjukkan bagaimana proses dalam sesi Windows yang sudah terkompromi dapat membuat autentikasi baru menggunakan kunci hardware yang valid.

Serangan Unit 42 dan Mollema membutuhkan malware atau proses yang sudah ada di perangkat korban, sehingga bukan metode untuk menembus autentikasi dari jarak jauh tanpa autentikasi sebelumnya.

Langkah Mitigasi dan Rekomendasi

Untuk pengguna Windows, langkah paling mendesak adalah menginstal pembaruan keamanan Microsoft yang menangani CVE-2026-34348. Selanjutnya, layanan yang menerima WebAuthn harus menegakkan persyaratan verifikasi pengguna secara ketat.

Perlindungan endpoint juga harus memperlakukan penyimpanan passkey, alur pemulihan, dan memori browser sebagai area sensitif kredensial. Di sisi Entra, pemantauan terhadap autentikasi Windows Hello for Business tanpa klaim ID perangkat dan pendaftaran perangkat yang tidak biasa sangat penting.

Sinkronisasi passkey maupun passkey yang terikat perangkat tidak menjamin keamanan bila ada kesalahan implementasi di bagian lain sistem autentikasi.

Mulai 1 September 2026, Microsoft akan mengaktifkan passkey secara otomatis bagi pengguna Entra ID yang masih menggunakan autentikasi SMS atau suara, sekaligus mendorong pendaftaran passkey. Metode SMS dan suara Microsoft akan dihentikan pada 1 Februari 2027.

Menurut laporan The Hacker News, perkembangan ini menandai peningkatan penting dalam strategi autentikasi, namun juga menuntut perbaikan menyeluruh pada ekosistem implementasi passkey.

Analisis Redaksi

Menurut pandangan redaksi, temuan terbaru ini menegaskan bahwa walaupun teknologi passkey dan FIDO2 secara kriptografi sangat kuat, keamanan autentikasi tidak hanya bergantung pada algoritma matematika yang digunakan, tetapi juga pada bagaimana sistem pendukung seperti sistem operasi, browser, dan manajemen sesi diimplementasikan dan dikelola.

Serangan yang menargetkan lapisan-lapisan ini menunjukkan bahwa ancaman keamanan modern semakin kompleks dan memerlukan pendekatan keamanan berlapis serta respon cepat dari vendor dan pengguna. Khususnya bagi organisasi besar yang mengandalkan Microsoft Entra ID dan Google Password Manager, tantangan terbesar adalah memastikan mitigasi efektif dan pemantauan terus-menerus terhadap anomali autentikasi.

Ke depan, pembaca harus mewaspadai bahwa kemajuan dalam autentikasi tanpa kata sandi bukan berarti risiko hilang, melainkan bergeser ke area implementasi dan manajemen kunci. Pengguna dan administrator disarankan untuk terus mengikuti pembaruan keamanan dan menerapkan model Zero Trust sebagai standar perlindungan.

Dengan meningkatnya adopsi passkey secara otomatis di layanan Microsoft, penting untuk memastikan bahwa semua lapisan sistem sudah siap menghadapi potensi eksploitasi yang lebih canggih di masa mendatang.