Passkey

บริษัท Meta ประกาศชุดฟีเจอร์ความปลอดภัยบัญชีของ WhatsApp โดยเพิ่มการรองรับ passkey หลายอันต่อหนึ่งบัญชี ช่วยให้ผู้ใช้ที่มีทั้งเครื่อง iOS และแอนดรอยด์ล็อกอินด้วยวิธีที่ต้านฟิชชิงได้ทุกเครื่อง บริษัทระบุว่ามีผู้ใช้เกินหนึ่งพันล้านคนล็อกอิน WhatsApp ด้วย passkey แล้ว พร้อมกันนี้ยังอัปเกรดการยืนยันสองขั้นจาก PIN หกหลักเป็นรหัสผ่านเต็มรูปแบบ และเพิ่มบริบทของสายเรียกเข้าจากคนนอกรายชื่อผู้ติดต่อบนแอนดรอยด์

นาย Dirk-jan Mollema นักวิจัยด้าน Entra ID สาธิตว่ามัลแวร์ที่รันอยู่ในเซสชันผู้ใช้ที่ล็อกอินอยู่แล้ว สามารถเรียกใช้กุญแจ Windows Hello for Business ของเหยื่อเพื่อยืนยันตัวตนกับ Microsoft Entra ID ได้เงียบ ๆ โดยไม่ต้องดึงคีย์ส่วนตัวออกมา ไม่ต้องรู้ PIN และไม่กระตุ้นการสแกนไบโอเมตริก อีกทั้งไม่ต้องใช้สิทธิ์ผู้ดูแลระบบ ผู้โจมตีนำโทเคนที่ได้ไปลงทะเบียนอุปกรณ์ใหม่และขอ Primary Refresh Token เพื่อคงการเข้าถึงคลาวด์ระยะยาว ขณะนี้ยังไม่มี CVE หรือประกาศจาก Microsoft

ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคโจมตี 3 รูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลัก Security Domain Secret ขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome ทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัส แต่เจาะโค้ดรอบ ๆ passkey รายงานไม่มีหมายเลข CVE และยังไม่ยืนยันว่าปิดช่องครบแล้ว ทุกเส้นทางต้องมีมัลแวร์รันอยู่บนเครื่องเหยื่อก่อน