Pass the Passkey: A Novel Attack Surface in Passwordless Authentication

Executive Summary This article analyzes new attack classes against passwordless authentication, focusing on Google’s synced passkey ecosystem and the Cloud Authenticator used by desktop clients. The attacks demonstrate how malware on a compromised endpoint can misuse onboarding, recovery and device trust workflows to take over passkey-protected accounts. We show how an attacker can authenticate wi

[Shinwiki]

英語…。シーケンスをハックされるのか、鍵を盗られるのか、どっちだこれ / FIDO関係ねぇwいつもの「そういう状況になった時点でさぁ…」案件。

[nguyen-oi]

パスキーも結局マルウェア入られたら突破されるのか。実装の落とし穴が多いな

[Xibalba]

マルウェア感染された端末でChromeになりすまして正規の通信手順を実行することでPasskeyを窃取するってコト?! わからん…