Sebuah metode serangan baru bernama Pass-ta-key berhasil membahayakan keamanan passkey yang tersimpan di peramban Google Chrome. Kelompok peneliti keamanan siber menemukan celah ini, yang berpotensi mengekspos informasi sensitif pengguna.
Metode Pass-ta-key dirancang untuk mengeksploitasi cara Google Chrome menangani dan menyimpan passkey, sebuah metode otentikasi yang lebih aman dibandingkan kata sandi tradisional. Peneliti berhasil mendemonstrasikan bagaimana mereka dapat mengakses passkey yang tersimpan tanpa memerlukan akses fisik ke perangkat korban.
Dalam presentasi mereka yang berjudul “Pass-ta-key: Breaking Chrome’s Passkey Storage” pada konferensi keamanan Black Hat USA 2023 di Las Vegas, para peneliti menjelaskan bahwa serangan ini memanfaatkan kerentanan pada implementasi passkey di Chrome. “Kami menemukan cara untuk mengekstrak passkey yang disimpan di peramban Chrome secara diam-diam,” ujar salah satu peneliti, Muhammad Ahad, saat menjelaskan temuannya.
Peneliti menjelaskan bahwa Pass-ta-key memanfaatkan celah dalam bagaimana Chrome mengelola kunci kriptografi yang digunakan untuk passkey. Dengan teknik yang canggih, penyerang dapat menyadap atau mengekstrak kunci-kunci ini, yang kemudian dapat digunakan untuk meniru identitas pengguna dan mengakses akun mereka. “Ini memungkinkan kami untuk mendapatkan akses ke akun yang dilindungi oleh passkey,” tambah Ahad.
Meskipun Google Chrome memiliki fitur keamanan yang kuat, termasuk enkripsi untuk data yang disimpan, metode Pass-ta-key menunjukkan bahwa tidak ada sistem yang sepenuhnya kebal. Celah ini menjadi pengingat penting bagi pengguna untuk tetap waspada terhadap potensi ancaman keamanan siber, bahkan pada teknologi yang dianggap aman.
Google sendiri telah merespons temuan ini. Juru bicara Google, Michael Acuña, menyatakan, “Kami menghargai kerja keras para peneliti keamanan yang membantu kami mengidentifikasi dan memperbaiki potensi kerentanan. Kami sedang meninjau laporan tersebut dan akan mengambil tindakan yang diperlukan untuk memperkuat keamanan passkey di Chrome.” Google belum memberikan rincian lebih lanjut mengenai jadwal perbaikan atau dampak potensial dari celah ini terhadap pengguna.
