Unit 42 viser hvordan synkroniserte passnøkler kan hentes ut fra en kapret maskin

Unit 42 hos Palo Alto Networks beskrev 3. august 2026 tre angrep mot synkroniserte passnøkler i Google Password Manager, slik de brukes i Chrome på Windows-maskiner med en TPM-brikke. Skadevare som allerede kjører som brukeren, kan liste opp synkroniserte innlogginger og misbruke maskinens tillit til å be om gyldige autentiseringssvar. Videre teknikker kan registrere en verifiseringsnøkkel angriperen selv kontrollerer, eller hente ut hemmeligheten som krypterer de synkroniserte passnøklene, og dermed få tak i selve nøkkelmaterialet. Unit 42 understreker at forskningen ikke bryter kryptografien i passnøkler, og at alle angrepene forutsetter at maskinen er kompromittert fra før. Funnene er meldt til Google og til berørte tjenester, og eBay rettet en svakhet i kontrollen av brukerverifisering som ble funnet under testingen.

Hva som skjer teknisk

En passnøkkel er et nøkkelpar. Den offentlige delen ligger hos tjenesten, den private delen ligger hos brukeren, og pålogging skjer ved at den private nøkkelen signerer en utfordring fra tjenesten. Det finnes ikke noe passord, og dermed finnes det heller ikke noe å lure fra brukeren på en falsk side. Når nøklene synkroniseres mellom brukerens enheter, må de likevel lagres kryptert et sted, og de må kunne brukes av nettleseren på maskinen.

Det er dette rommet angrepene utnytter. Ifølge Unit 42 kan skadevare som kjører med brukerens rettigheter, be om gyldige autentiseringssvar ved å utnytte tilliten maskinen allerede har, uten å røre kryptografien. En annen teknikk registrerer en verifiseringsnøkkel angriperen kontrollerer, altså et nytt godkjent ledd i kjeden. Den tredje henter ut hemmeligheten som beskytter de synkroniserte passnøklene, og da kan det private nøkkelmaterialet trekkes ut. Skillet er verdt å holde fast ved. Passnøkler står seg fortsatt mot phishing, som er det de er laget for. De står ikke alene mot en maskin som allerede er tatt over, og det er en helt annen trussel enn en falsk påloggingsside.

Hva det betyr for virksomheten

Mange virksomheter er nå i gang med å innføre passnøkler, og det er riktig vei å gå. Denne saken endrer ikke retningen, men den justerer forventningen. Passnøkler flytter risikoen fra påloggingssiden til enheten. Tilstanden på maskinen blir dermed den avgjørende kontrollen, ikke et vedheng til identitetsprosjektet.

Det praktiske spørsmålet blir hvor passnøklene bor. Nøkler som er bundet til maskinvare og ikke synkroniseres, har ikke det samme angrepsrommet som nøkler som synkroniseres mellom enheter gjennom en skytjeneste. For kontoer med høy verdi, altså administratorer, økonomi og styringssystemer, bør dette valget tas bevisst og skrives ned. For virksomheter under NIS2 hører både tilgangskontrollen og sikkerheten på klientene inn under artikkel 21.

Berigo anbefaler

• Fortsett innføringen av passnøkler, som fortsatt fjerner phishing som angrepsvei.
• Vurder maskinvarebundne nøkler uten synkronisering for administratorkontoer og andre kontoer med høy verdi.
• Behandle klientsikkerhet som en del av identitetssikkerheten, med oppdatert deteksjon på maskinene som brukes til pålogging.
• Følg med på oppdateringer fra Google og fra tjenestene dere bruker, siden funnene er meldt til dem.
• Ha en plan for hva som skjer når en klient er kompromittert, inkludert hvilke nøkler og økter som da må trekkes tilbake.