Ataque Pass-ta-key expõe mitos sobre armazenamento de passkeys no Windows

O que aconteceu

Na semana passada, o pesquisador Arie Olshtein, da Palo Alto Networks, publicou um post descrevendo o ataque Pass-ta-key, que consegue obter todas as passkeys guardadas no Google Password Manager (GPM) para Windows quando a máquina está infectada com malware (Ars Technica). A reação foi de surpresa porque muitos acreditavam que passkeys ficam armazenadas exclusivamente no TPM (Trusted Platform Module), o enclave protegido em chip dedicado para chaves criptográficas em máquinas Windows.

Contexto

A especificação FIDO2, mantida pela FIDO Alliance, não obriga que passkeys sejam guardadas em TPM ou em qualquer hardware dedicado — que recebe nomes diferentes conforme a plataforma, como secure enclaves, trusted execution environments e StrongBoxes. Na prática, a maioria das plataformas e softwares de terceiros não usa esse tipo de hardware para armazenar passkeys. A exceção quase solitária é a Microsoft, que oferece ao usuário a opção de guardar passkeys no TPM do Windows — recomendada principalmente para empresas, não para consumidores (Ars Technica).

Por que importa

O ataque não é novo nem exclusivo de passkeys: qualquer segredo armazenado em um aplicativo pode ser extraído por malware que já tenha acesso à máquina. A confusão gerada pela pesquisa mostra que falta clareza na comunicação sobre onde as passkeys realmente ficam. Para o usuário comum, o risco prático é limitado, mas para empresas que adotam passkeys como camada de segurança, entender a diferença entre armazenamento local e TPM é essencial para avaliar o modelo de ameaça.

Impacto

No curto prazo, o Pass-ta-key deve alimentar discussões sobre a segurança real de passkeys em cenários de máquina comprometida. No médio prazo, a confusão pode levar equipes de segurança a revisar políticas de armazenamento e a considerar o uso do TPM do Windows para passkeys em ambientes corporativos. Também reforça a necessidade de os gerenciadores de senha e plataformas deixarem explícito onde cada credencial é guardada.

O que muda

A principal mudança é de percepção: passkeys não são imunes a malware só porque usam criptografia forte. A segurança depende do modelo de armazenamento adotado por cada aplicativo. Para quem usa o Google Password Manager no Windows, o Pass-ta-key mostra que o app guarda as passkeys de forma acessível ao próprio sistema — e, portanto, a qualquer malware com privilégios suficientes.

O que vem agora

Espera-se que a FIDO Alliance e os desenvolvedores de gerenciadores de passkeys esclareçam melhor as opções de armazenamento em cada plataforma. No Windows, a Microsoft deve continuar recomendando o TPM para empresas, enquanto consumidores seguem com a conveniência do armazenamento gerenciado por apps. A pesquisa também deve incentivar novos estudos sobre o impacto de malware em diferentes implementações de passkeys.