Pass-the-Passkey: nowe ataki wymierzone w następcę hasła

Nasz przewodnik „Samo hasło to za mało ” spotkał się z pozytywnym odbiorem społeczności i został celowo napisany z myślą o początkujących. Otrzymane opinie wskazały dokładnie na te subtelne kwestie, które wówczas pominęliśmy. Obecne badania dostarczają odpowiedniej okazji: podczas konferencji Black Hat USA (1–6 sierpnia, Las Vegas) badacz ds. bezpieczeństwa Michael Grafnetter zaprezentuje rodzinę ataków, którą nazwał „Pass-the-Passkey”. Nadszedł czas na kontynuację: co naprawdę wyróżnia klucze dostępu, gdzie leżą ich ograniczenia i co można zrobić lepiej.

Klucz dostępu w chmurze czy klucz sprzętowy – oto cała różnica

Klucze dostępu występują w dwóch wariantach. Wygodniejszy z nich znajduje się w menedżerze haseł lub bezpośrednio u Apple, Google czy Microsoft i synchronizuje się ze wszystkimi Państwa urządzeniami za pośrednictwem chmury. Jest to praktyczne rozwiązanie, ale otwiera dodatkową linię ataku. Każdy, kto uzyska dostęp do Państwa konta w chmurze, potencjalnie zyska również dostęp do zsynchronizowanych kluczy dostępu. Drugim wariantem jest klucz sprzętowy – niewielka pamięć USB lub urządzenie NFC. Jak opisuje to organizacja FIDO Alliance, klucz prywatny nigdy nie opuszcza chipa i nie można go wyeksportować. Dla większości osób klucz dostępu w chmurze jest wystarczający, ponieważ jest odporny na ataki phishingowe i zdecydowanie przewyższa hasło. Jeśli posiadają Państwo konta wymagające szczególnej ochrony, bezpieczniej jest skorzystać z klucza sprzętowego.

Wyniki badań dotyczących „Pass-the-Passkey”

Michael Grafnetter, badacz ds. bezpieczeństwa w firmie SpecterOps, dokładnie przeanalizował rzeczywiste wdrożenia kluczy dostępowych i opublikował swoje ustalenia na swoim blogu DSInternals. Odkrył, że gdy otoczenie jest niedostatecznie zabezpieczone, można ponownie wykorzystać stare schematy ataków, nawet jeśli sama kryptografia kluczy dostępowych jest solidna. Nazwał to „Pass-the-Passkey”, na wzór „Pass-the-Hash”. Atakujący kradnie dane logowania i wykorzystuje je ponownie, nie znając nawet hasła. W szczególności odkrył trzy luki w systemie Windows 11 i usłudze Microsoft Entra ID, które były bliskie wykorzystania przez atakujących. System Windows 11 zapisywał sygnaturę logowania w dzienniku zdarzeń w postaci zwykłego tekstu, gdzie konta bez uprawnień mogły ją odczytać, w niektórych przypadkach nawet zdalnie. Sam klucz prywatny pozostawał zabezpieczony w urządzeniu uwierzytelniającym. Ponadto usługa Entra ID nie zapobiegała w odpowiedni sposób ponownemu wykorzystaniu tych potwierdzeń. W połączeniu wystarczyłoby to do przejęcia uprzywilejowanych kont w chmurze i obejścia nawet odpornego na phishing logowania wieloskładnikowego. Główna luka została oznaczona jako CVE-2026-34348 i została usunięta 14 lipca. Firma Microsoft po cichu naprawiła tę lukę po stronie chmury. Warto zwrócić uwagę na jeden istotny kontekst: problem ten dotyczy głównie konfiguracji firmowych wykorzystujących Entra ID, Windows Hello lub klucze FIDO2, a nie Państwa prywatnego klucza dostępu przechowywanego w telefonie. Według własnej oceny serwisu Grafnetter klucze dostępu stanowią duży krok naprzód, ale nie są rozwiązaniem cudownym, a ścieżki ataku pozostają znacznie bardziej złożone niż w przypadku klasycznych haseł.

Klucze sprzętowe nie są wszystkie takie same

Klucz sprzętowy nie jest automatycznie idealnym rozwiązaniem. Najpierw należy przyjrzeć się standardowi. FIDO2 z WebAuthn to nowoczesna metoda odporna na phishing, podczas gdy starsze metody oparte na kodach jednorazowych, takie jak TOTP, nie zapewniają takiej ochrony. Po drugie, najbardziej znane marki, takie jak YubiKey (dostępny tutaj na Amazon) czy Titan firmy Google, są sprawdzone, ale już sam ich zasięg sprawia, że stają się popularnym celem ataków, a ponadto mają one również swoje słabe punkty. Atak EUCLEAK wykazał w 2024 r., że niektóre starsze modele YubiKey można sklonować w warunkach laboratoryjnych. Jeśli chcą Państwo ograniczyć powierzchnię ataku, mogą Państwo celowo wybrać mniej popularny, ale certyfikowany model. W przypadku rozwiązań wbudowanych w urządzenie, na przykład w iPhone’a, należy kierować się rozsądnym założeniem: to, co dziś jest bezpiecznie przechowywane w chipie, może pewnego dnia zostać odczytane. Oddzielny klucz, który można wyjąć w razie wątpliwości, pozostaje bardziej konserwatywnym wyborem.

Najczęstszy błąd: stare hasło pozostaje aktywne

Najkosztowniejszym błędem jest ten, którego nie widać. Wiele osób konfiguruje klucz dostępu, ale pozostawia stare, słabe hasło jako login. W ten sposób tylne drzwi pozostają szeroko otwarte, a klucz dostępu niewiele Panu/Pani daje. Oto jak należy to zrobić prawidłowo:

1. Skonfiguruj klucz dostępu lub klucz sprzętowy dla konta.
2. Zapisz kody odzyskiwania, najlepiej w formie wydruku lub w menedżerze haseł działającym w trybie offline.
3. Wyłącz stare hasło wszędzie tam, gdzie usługa na to pozwala.
4. Jeśli nie jest to możliwe, proszę zastąpić hasło długim, złożonym hasłem i przechowywać je wyłącznie w bezpiecznym miejscu.

Czy ta zmiana w ogóle się opłaca?

Tak. Klucze dostępu przesuwają punkt docelowy, ale go nie eliminują – i to jest szczere przesłanie nowych badań. Nadal są one wyraźnie bezpieczniejsze niż hasła, niezależne od wycieków danych i odporne na phishing. Firma Microsoft od 1 września wprowadza nawet klucze dostępu jako domyślną metodę logowania do swoich kont w chmurze. Dla większości osób zsynchronizowany klucz dostępu stanowi właściwy krok. Każdy, kto potrzebuje większej ochrony, może dodać klucz sprzętowy i zamknąć tylne drzwi związane z hasłem. Grafnetter przedstawi szczegóły dotyczące ataku „Pass-the-Passkey” podczas konferencji Black Hat, wraz z narzędziami, które udostępnia na licencji open source, aby inni mogli znaleźć kolejne słabe punkty.

Aktualizacja z dnia 31 lipca 2026 r.

Udokładniliśmy opis luki w systemie Windows. W poprzedniej wersji tego fragmentu stwierdzono, że system Windows 11 zapisywał pełną kopię klucza w dzienniku zdarzeń. Sformułowanie to pochodziło z raportu serwisu Dark Reading, do którego zamieściliśmy link jako źródło. W rzeczywistości do dziennika trafiła sygnatura logowania, ograniczona czasowo i pod względem odbiorców, a nie klucz prywatny. Klucz prywatny pozostaje zabezpieczony w urządzeniu uwierzytelniającym.

Firma Microsoft zwróciła nam uwagę na tę nieścisłość. Poprawka jest zgodna z komunikatem Michaela Grafnettera opublikowanym na stronie DSInternals, w którym mowa jest o sygnaturach, oraz z klasyfikacją luki CVE-2026-34348 jako ujawnienia informacji w usłudze rejestrowania zdarzeń systemu Windows. Nie zmienia to jednak powagi tej luki. Możliwość ponownego wykorzystania podpisów w połączeniu z brakiem kontroli powtórnego odtworzenia w usłudze Entra ID wystarczyły do przejęcia uprawnionych kont w chmurze.