New vulnerabilities in cloud authenticators: how malware can compromise accounts protected by passkey

Questo articolo esplora nuove classi di attacchi contro l'autenticazione senza password, concentrandosi sull'ecosistema di passkey sincronizzati di Google e sull'Authenticator Cloud utilizzato dai client desktop. Gli attacchi dimostrano come il malware su un endpoint compromesso possa sfruttare i flussi di onboarding, recupero e fiducia del dispositivo per prendere il controllo degli account protetti da passkey. Vengono presentati tre attacchi innovativi che sfidano le principali ipotesi di sicurezza dell'autenticazione con passkey.