Apakah Anda sudah mulai beralih menggunakan passkey untuk masuk ke akun digital Anda? Selama beberapa tahun terakhir, passkey dianggap sebagai benteng pertahanan terbaik untuk menggantikan kata sandi tradisional. Teknologi ini dipromosikan sebagai metode "kebal phishing" karena menggunakan kriptografi kunci publik dan tidak memiliki kredensial rahasia yang bisa ditebak atau dicuri lawan.

Namun, riset terbaru dari tim peneliti keamanan Unit 42 (Palo Alto Networks) memberikan peringatan keras. Passkey memang sangat aman dari serangan siber jarak jauh, tetapi perlindungannya hanya sekuat perangkat tempat kunci tersebut disimpan.

Jika komputer Windows Anda terinfeksi malware, peretas dapat memanfaatkan celah pada memori browser Google Chrome dan Google Password Manager untuk mencuri passkey secara diam-diam—bahkan tanpa memerlukan autentikasi sidik jari atau PIN dari pemilik perangkat.

Trilogi Serangan "Pass-Ta-Key": Bagaimana Peretas Beraksi?

Para peneliti mengungkap tiga metode serangan utama yang dikategorikan dalam keluarga ancaman "Pass-Ta-Key":

  1. Pass-Ta-Key (Eksploitasi Alur Autentikasi): Malware berizin rendah pada komputer korban meniru cara kerja Chrome dan Google Password Manager saat memproses login. Tanpa meminta izin, tanpa memicu verifikasi biometrik, dan tanpa memerlukan hak akses admin (privilege escalation), malware mampu memalsukan otorisasi kunci dan membiarkan peretas masuk ke akun yang dilindungi.
  2. Silver Pass-Ta-Key (Pemalsuan Perangkat Baru): Serangan ini memanipulasi alur pendaftaran ulang perangkat. Peretas menipu sistem Google Cloud Authenticator agar menganggap mereka telah memverifikasi biometrik. Parahnya, setelah kunci peretas berhasil didaftarkan, mereka dapat terus mengakses akun dari jarak jauh—bahkan setelah komputer korban dibersihkan dari malware utama.
  3. Golden Pass-Ta-Key (Pencurian Kunci Utama): Ini adalah skenario paling berbahaya. Malware menyisir memori proses (process memory) milik Chrome untuk mengekstrak Security Domain Secret (SDS) atau master key. Dengan master key di tangan, peretas dapat mendekripsi seluruh kunci privat passkey yang tersinkronisasi, mengunduhnya, dan menggunakannya di mana saja.

Mengapa Kelemahan Ini Bisa Terjadi?

Penting untuk dipahami bahwa celah ini bukan disebabkan oleh kecacatan pada konsep kriptografi passkey itu sendiri, melainkan pada implementasi perangkat lunak dan arsitektur memori di sekitarnya.

Aplikasi atau situs web sering kali secara buta mempercayai penanda verifikasi pengguna (user verified flag) yang dikirimkan oleh browser tanpa melakukan validasi silang apakah interaksi manusia yang nyata (seperti pemindaian sidik jari atau input PIN) benar-benar terjadi di tingkat perangkat keras (hardware TPM). Selain itu, kunci master passkey sempat tersimpan secara transparan di dalam memori aktif Chrome saat alur pendaftaran ulang berjalan.

Langkah Mitigasi dan Kesiapan Pengguna

Laporan dari TechSpot dan Unit 42 menegaskan bahwa Google telah mengambil langkah cepat dengan memperketat alur logging dan meminimalisir eksposur rahasia master di dalam memori browser.

Namun, serangan ini mengingatkan kita pada prinsip dasar keamanan siber: Keamanan perangkat keras lokal tetap menjadi garis pertahanan pertama.