« Pass-ta-key » : une attaque permettant de subtiliser toutes les clés d'accès stockées dans l'application Google Password Manager pour Windows,

Dès lors que la machine est infectée par un maliciel

Une attaque informatique appelée « Pass-ta-key » permet d'extraire les clés d'accès du gestionnaire de mots de passe de Google sur Windows. Bien que les « passkeys » (clés d'accès) soient perçus comme inviolables, ils sont souvent stockés dans des fichiers chiffrés synchronisés plutôt que dans des puces matérielles sécurisées pour faciliter leur usage sur plusieurs appareils. Cette vulnérabilité est particulièrement marquée sur le système de Microsoft, dont le cloisonnement logiciel est moins restrictif que celui de macOS ou Linux. Cette menace n'est pas une faille de conception des passkeys, mais une conséquence inévitable d'une infection par un maliciel local.

Les « passkeys » (ou clés d'accès en français) constituent une tentative relativement récente visant à trouver une alternative plus robuste aux mots de passe classiques, aux cookies de session, à l’authentification multifactorielle (MFA) et à tous les autres moyens que nous devons utiliser sur Internet pour vérifier à la fois que nous sommes bien la personne que nous prétendons être et que nous sommes autorisés à accéder à la ressource sollicitée.

En bref, il s’agit d’une paire de clés cryptographiques : une clé publique sur le site où vous avez créé un compte et une clé privée stockée sur l’appareil spécifique que vous avez utilisé lors de la création de la clé. Si l’appariement est valide, vous pouvez vous connecter sans avoir à saisir de mot de passe ni à recourir à une autre méthode de vérification. Mais un chercheur a mis au jour une attaque qui suscite un débat sur la sécurité des passkeys.

Arie Olshtein, chercheur au sein de la société de sécurité Palo Alto Networks, a récemment décrit comment l'attaque pouvait récupérer toutes les clés d’accès stockées dans l’application Google Password Manager (GPM) pour Windows lorsqu’elle est exécutée sur une machine infectée par un logiciel malveillant.

Le stockage local des clés d’accès est vulnérable sur Windows

Cette attaque a surpris de nombreuses personnes. La plupart des gens partaient du principe que les clés d’accès locales étaient stockées en toute sécurité sur le système local, que ce soit dans des puces TPM (Trusted Platform Manager), des enclaves sécurisées ou quel que soit le nom donné par le système d’exploitation à sa zone protégée. Le problème, c’est que ce mode de stockage empêche de répliquer ses clés d’accès sur un autre appareil.


Ces clés doivent pouvoir être facilement synchronisées sur tous les appareils d’un utilisateur. Mais l’obligation de stockage dans la puce TPM ou une enclave rendait cette synchronisation impossible. La seule façon de les charger dans la puce TPM d’un nouvel appareil aurait été de les recréer une par une.

Si l’on ne peut utiliser une clé d’accès que sur un seul appareil sans devoir la recréer de toutes pièces, les utilisateurs seront peu enclins à l’adopter, car cela s’avérerait un peu pénible. Face à ce dilemme, l’Alliance FIDO (l'organisme qui fixe les règles des passkeys) a tranché en faveur de la simplicité : elle n'a pas imposé le stockage dans ces zones ultra-sécurisées, mais a laissé chaque système décider de la manière dont il protégera les clés d'accès.

L'Alliance FIDO avait misé sur le fait que chaque système d'exploitation mettrait en place des protections suffisantes pour empêcher qu'un pirate informatique ayant infecté une machine puisse en extraire une copie. Leur raisonnement était que les autorisations accordées aux applications sont si granulaires qu’un maliciel se cachant sur l’appareil serait « incapable » d’accéder aux clés privées qui constituent le pilier de la sécurité des clés d’accès.

Un maliciel installé sur un appareil fonctionnant sous macOS, iOS ou Android, par exemple, n’a aucun moyen de contourner cet isolement, à moins que le système d’exploitation lui-même ne soit compromis par une faille « zero-day » particulièrement rare. Jusqu’à présent, ces hypothèses se sont avérées exactes dans la pratique. La seule exception est Windows : Microsoft n'a pas mis en place les protections nécessaires pour empêcher le vol.

Le fonctionnement hybride des clés d'accès sur Microsoft

Contrairement à toutes les autres plateformes, les applications Windows s’exécutent généralement avec tous les privilèges de l’utilisateur, alors que les autres plateformes favorisent par défaut la restriction des privilèges. Bien que Windows offre certaines protections de type « sandbox » destinées à isoler les applications, cela n’empêche pas les applications hors sandbox, comme les maliciels, d’accéder aux données d’une application en sandbox.


Le sandbox n’assure une protection que dans un seul sens. Les technologies de sandbox sur d’autres plateformes offrent une protection bien plus efficace. Cela signifie que les maliciels sous Windows rencontrent nettement moins de difficultés pour accéder aux données utilisées par une autre application.

Il n'y a aucune certitude que les clés d'accès stockées sur un appareil Windows ne seraient pas récupérées en cas d’infection par un maliciel. De nombreux développeurs tiers ont opté pour une nouvelle architecture : le stockage des passkeys dans des blobs chiffrés de bout en bout situés dans le cloud. Les clés d'accès stockées sur serveur constituent désormais la solution adoptée par Google Password Manager (GPM) pour Windows, 1Password...

En pratique, voici comment ce mécanisme fonctionne : lorsqu'un utilisateur souhaite utiliser une passkey, son appareil récupère une clé de périphérique dans la puce TPM de l'appareil local pour la présenter au serveur d'authentification de l'éditeur. Cette étape, combinée à la connexion active au compte (Google) de l'utilisateur, déclenche la signature d'une assertion d'authentification sur le serveur de l'éditeur où se trouve la clé privée chiffrée.

En revanche, sur d'autres plateformes, telles que Linux et macOS, ces mêmes applications (1Password, Dashlane ou GPM) stockent les clés d’accès localement sur l’appareil. Lorsqu’un utilisateur souhaite se connecter à l’aide d’une clé d’accès, c’est l’appareil local, et non celui situé dans le cloud, qui présente une attestation d’authentification. Celle-ci est signée par la clé privée, qui est également stockée sous forme chiffrée sur l’appareil local.

Pass-ta-key : une attaque qui profite d'une infection existante

La récente découverte de l'attaque nommée « Pass-ta-key » par Arie Olshtein a suscité d'importants débats concernant la sécurité réelle des clés d'accès. Selon le chercheur, cette attaque cible la surface d’attaque au sein de l’écosystème des clés d’accès. Elle permet de récupérer toutes les clés d’accès stockées dans l’application Google Password Manager pour Windows lorsqu’elle est exécutée sur une machine infectée par un logiciel malveillant.


Pass-ta-key exploite son accès au compte Google (et, dans certains cas, la clé de l’utilisateur ou de l’appareil stockée dans la puce TPM) pour obtenir les clés d’accès secrètes. La plus puissante des trois variantes amène l’ordinateur Windows infecté à se faire passer pour un iPhone. Cela déclenche une fonctionnalité de synchronisation dans GPM qui permet aux utilisateurs de transférer toutes les clés d’accès stockées vers un nouvel appareil.

Les clés sont alors transférées vers l’appareil Windows infecté. Bien que cette vulnérabilité soit qualifiée de « nouvelle surface d'attaque » par son découvreur, de nombreux experts rappellent qu'un appareil local infecté et connecté à un compte sensible équivaut systématiquement à une perte totale de contrôle. Il n’y a donc rien de nouveau ici, et la surface d’attaque s’étend à toutes les données dont l’accès nécessite une authentification.

Ce risque a toujours existé et explique pourquoi certaines personnes considèrent que les gestionnaires de mots de passe ne sont pas sûrs à utiliser. D’après l’article d'Arie Olshtein, il est possible que Google Password Manager ne dispose pas de certaines protections présentes dans des gestionnaires de mots de passe comme 1Password, telles que l’appel d’API du système d’exploitation pour empêcher d’autres processus de lire sa mémoire.

Les clés d'accès n'ont jamais été conçues pour résister à des attaques locales sur des machines compromises, mais plutôt pour éliminer les secrets partagés exposés au phishing ou aux piratages de serveurs. Il n'est pas surprenant que Pass-ta-key puisse extraire des clés lorsqu'un appareil Windows est compromis.

Cette étude n'est peut-être pas révolutionnaire, elle permet néanmoins aux utilisateurs de comprendre qu'une fois qu'un appareil, en particulier s'il fonctionne sous Windows, est compromis alors qu'il est connecté à un compte, toutes les données qui y sont stockées sont à la portée de n'importe qui.

Source : billet de blogue

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'attaque informatique « Pass-ta-key » ?
Que pensez-vous du fonctionnement hybride des clés d'accès sur Windows ?

Voir aussi

Les données des utilisateurs du gestionnaire de mots de passe LastPass ont de nouveau été volées par des pirates informatiques, notamment des informations sur les noms, les numéros de téléphone et les e-mails

27 vulnérabilités ont été découvertes dans les gestionnaires de mots de passe basés sur le cloud : Bitwarden, LastPass, Dashlane et 1Password, ces vulnérabilités pourraient exposer les coffres-forts

La plupart des gestionnaires de mots de passe populaires présentent des vulnérabilités pouvant entraîner le vol de mots de passe, selon un rapport