AI应用
Pass-ta-key攻击揭示通行密钥的真正风险
AI导读
Last week a researcher outlined what he said was a “novel attack surface” in passkeys, the new authentication paradigm that offers a more secure alternative over password-based methods. In fact, the attacks demonstrated in the post are neither novel nor unique to passkeys. This distinction is import...
上周，一位研究人员 outlined 了他所说的通行密钥中的"新型攻击面"——通行密钥是一种新的认证范式，提供了比基于密码的方法更安全的替代方案。事实上，帖子中 demonstrated 的攻击既不新颖也非通行密钥独有。这种区别很重要，因为该研究在最终用户和安全专业人士评估这种新机制是否 truly 安全使用时引起了 confusion。
该攻击称为Pass-ta-key——是通行密钥与"传递密钥"短语的混合，也是对一盘 pasta 的致敬。安全公司Palo Alto Networks的研究员阿里·奥尔施泰因上周在一篇文章中 described 了Pass-ta-key如何在感染了恶意软件的机器上运行时，获取存储在Google密码管理器应用（GPM）中的所有通行密钥。
这让许多人感到 surprise，因为他们 believed 通行密钥 exclusively 存储在可信平台管理器（TPM）中——TPM是 hardened silicon chip 中的 locked-down enclave， reserved for 在Windows机器上存储加密密钥和其他高度敏感信息。如果通行密钥存储在TPM中，那么Pass-ta-key如何能够提取应用存储的整个通行密钥集，他们想知道？
内容声明
本文内容基于公开市场信息与媒体报道进行整理，部分观点来自社区讨论。如涉及事实性问题，欢迎通过 xurj005@163.com 与我们指正，我们将及时核实并更新。
