Pass-TA-Key : malware vole vos passkeys Google sans alerte

Trois techniques post-compromission pour détourner l'authentification sans mot de passe

Le 3 août 2026, le chercheur Arie Olshtein de l'équipe Unit 42 de Palo Alto Networks a publié un article de recherche intitulé « Pass the Passkey : A Novel Attack Surface in Passwordless Authentication ». La publication révèle trois nouvelles techniques d'attaque post-compromission, baptisées collectivement Pass-TA-Key, Silver Pass-TA-Key et Golden Pass-TA-Key, qui permettent à un malware déjà présent sur une machine Windows de détourner silencieusement les passkeys Google synchronisées dans Chrome. L'impact est potentiellement majeur : dans les trois cas, l'attaquant peut se connecter aux services en ligne protégés par passkeys de la victime sans connaître son mot de passe, sans déclencher d'invite biométrique ou de saisie de PIN, et sans que Google ne soit en mesure d'invalider les accès compromis à court terme.

La racine du problème réside dans une décision architecturale de Google Password Manager : la clé maître qui chiffre l'ensemble des passkeys stockées dans un compte Google est de 32 octets et, au moment où Chrome en a besoin pour débloquer ou synchroniser une passkey, elle passe en clair dans la mémoire du processus du navigateur. Cette présence en mémoire est nécessaire au fonctionnement normal du service — une passkey ne peut être utilisée que si la clé maître a été préalablement déchiffrée — mais elle constitue une surface d'attaque exploitable par tout processus capable de lire la mémoire d'un autre processus sur la même machine, une opération qui requiert des privilèges élevés mais reste accessible à de nombreuses familles de malwares commerciaux.

La première technique, baptisée Pass-TA-Key, consiste à extraire directement la clé maître depuis la mémoire de Chrome au moment où elle y réside, puis à l'utiliser pour déchiffrer le coffre de passkeys local ou synchronisé. L'extraction de mémoire de processus est une technique bien connue des infostealers, utilisée depuis des années pour voler des mots de passe depuis les navigateurs, mais son application aux passkeys Google n'avait pas été documentée jusqu'à cette recherche. La clé extraite peut ensuite être réutilisée depuis n'importe quelle machine contrôlée par l'attaquant pour déchiffrer les passkeys synchronisées via Google Cloud, sans nécessiter de présence physique sur le périphérique de la victime.

La deuxième technique, Silver Pass-TA-Key, cible le mécanisme d'onboarding de nouveaux appareils dans Google Password Manager. Lorsqu'un utilisateur enregistre un nouveau périphérique pour accéder à ses passkeys synchronisées, Google utilise un protocole cryptographique d'enrôlement qui s'appuie sur le trust établi par un appareil déjà connu. Les chercheurs d'Unit 42 ont découvert que ce protocole présente une faiblesse permettant à un malware, en se faisant passer pour un processus légitime sur la machine de la victime, d'enrôler silencieusement un appareil contrôlé par l'attaquant dans le cercle de confiance du compte Google. Une fois ce faux appareil enrôlé, il reçoit automatiquement une copie synchronisée de l'ensemble des passkeys.

La troisième technique, Golden Pass-TA-Key, exploite les mécanismes de récupération de compte de Google. Lorsqu'un utilisateur perd accès à ses appareils de confiance, Google propose des procédures de récupération qui, par nécessité de convivialité, reposent sur des preuves d'identité moins strictes que l'authentification normale. Unit 42 a démontré qu'un malware disposant d'informations partielles sur le compte — obtenues lors de la compromission initiale de la machine — peut initier et compléter une procédure de récupération au nom de la victime pour enrôler un nouvel appareil attaquant, sans que l'utilisateur légitime ne reçoive nécessairement d'alerte suffisamment explicite pour comprendre la nature de l'opération en cours.

Un point critique de la recherche concerne la non-révocabilité de la clé maître. Contrairement aux mots de passe, qu'un utilisateur peut changer en quelques clics pour invalider les sessions actives, la clé maître des passkeys Google n'est pas conçue pour être réinitialisée à la demande. Une fois extraite par un attaquant, elle reste exploitable indéfiniment pour déchiffrer les passkeys en sa possession. Google peut forcer un ré-enrôlement complet du compte — ce qui invaliderait les passkeys existantes et obligerait à en recréer de nouvelles — mais cette procédure lourde équivaut à un reset total des credentials de l'utilisateur, avec toutes les perturbations que cela implique pour ses accès quotidiens à des dizaines de services.

Il est important de souligner que les trois techniques Pass-TA-Key ne constituent pas des attaques zero-click et ne cassent pas la cryptographie WebAuthn, qui repose sur des primitives éprouvées (P-256, ECDSA). Elles supposent toutes qu'un malware soit déjà présent et actif sur la machine de la victime — une précondition non triviale, mais régulièrement atteinte via des infostealers distribués dans des campagnes de phishing, de malvertising ou via des paquets open source malveillants. En ce sens, Pass-TA-Key illustre que la compromission de l'endpoint annule les garanties d'une authentification sans mot de passe pourtant réputée plus robuste que les mots de passe classiques.

Google a été notifié par Palo Alto Networks avant la publication de la recherche, dans le cadre d'un processus de divulgation responsable. Dans sa réponse publique, la firme a reconnu les vecteurs identifiés mais a fait valoir qu'ils supposent une compromission préalable de l'endpoint, ce qui sort du périmètre de menace que les passkeys sont conçues à couvrir. Google a indiqué travailler sur des améliorations relatives à la durée de vie des clés maîtres en mémoire et au renforcement des contrôles lors de l'onboarding de nouveaux appareils. D'après BleepingComputer, la FIDO Alliance aurait été impliquée dans les discussions préalables à la publication et devrait publier des recommandations complémentaires dans les prochains mois.

Les passkeys ne sont pas une panacée : l'endpoint reste le maillon faible

La recherche Pass-TA-Key illustre une tension fondamentale dans la conception des systèmes d'authentification modernes : l'amélioration de la sécurité côté réseau et côté serveur déplace le risque vers l'endpoint utilisateur, sans nécessairement l'éliminer. Les passkeys ont été conçues pour résoudre les problèmes liés aux mots de passe — phishing, credential stuffing, réutilisation — et y parviennent effectivement. Mais elles transfèrent une partie du risque vers la sécurité de l'appareil sur lequel le secret cryptographique est stocké et utilisé. Si cet appareil est compromis, les protections cryptographiques des passkeys peuvent être contournées non pas en les cassant, mais en les réutilisant directement depuis la mémoire ou via les mécanismes de synchronisation.

Ce constat n'est pas un argument contre le déploiement des passkeys — elles restent très supérieures aux mots de passe contre les attaques réseau les plus répandues — mais il rappelle que leur adoption doit s'accompagner d'un renforcement parallèle de la sécurité des endpoints. Les solutions EDR, la politique de moindre privilège, la détection des accès mémoire inter-processus suspects et la surveillance des comportements d'onboarding inhabituels constituent des couches de protection complémentaires indispensables. Pour les entreprises déployant des passkeys en contexte professionnel via Google Workspace, la politique de sécurité des appareils gérés par le MDM devient aussi critique que la politique d'authentification elle-même.

Du côté de l'industrie, la recherche Pass-TA-Key va probablement accélérer les discussions sur plusieurs points d'amélioration du standard WebAuthn et de ses implémentations : durée de vie limitée des clés maîtres en mémoire, mécanismes de révocation des clés synchronisées plus granulaires, contrôles d'anomalie comportementale lors de l'enrôlement de nouveaux appareils, et notifications plus explicites aux utilisateurs lors d'opérations d'onboarding ou de récupération. Ces améliorations, si elles sont intégrées dans les prochaines versions du standard et dans les implémentations des navigateurs, rendraient les techniques Pass-TA-Key significativement plus difficiles à exploiter, même depuis un endpoint compromis.

En France et en Europe, où les directives NIS2 et DORA imposent aux entités réglementées des exigences croissantes en matière d'authentification forte, la recherche Pass-TA-Key apporte un éclairage utile pour les RSSI évaluant le déploiement des passkeys comme mécanisme de conformité MFA. Une passkey compromise sur un endpoint infecté ne constitue pas un second facteur fiable. Les organisations soumises à ces réglementations devront s'assurer que leur analyse des risques d'authentification intègre explicitement le scénario de compromission endpoint et que les contrôles compensatoires — notamment la détection comportementale sur les postes de travail et le monitoring des enrôlements d'appareils — sont suffisamment matures pour détecter les comportements caractéristiques des techniques Pass-TA-Key avant qu'un accès non autorisé ne soit effectif.

Ce qu'il faut retenir

• La clé maître chiffrant toutes les passkeys d'un compte Google transite en clair dans la mémoire de Chrome et ne peut pas être révoquée une fois volée — une faiblesse documentée par Unit 42 dans trois techniques d'attaque distinctes.
• Les passkeys restent très supérieures aux mots de passe contre le phishing et le credential stuffing, mais supposent un endpoint sain : la sécurité des postes devient aussi critique que la politique d'authentification.
• Pour les entreprises déployant des passkeys en contexte professionnel, un EDR actif, une politique MDM stricte et une surveillance des enrôlements d'appareils inhabituels sont des contrôles compensatoires indispensables.