Was ist passiert?
Drei unabhängige Forschungsteams haben letzte Woche kritische Schwachstellen in Passkey-Systemen demonstriert. Die Angreifer konnten synchronisierte Private Keys auslesen oder die vermeintlich phishing-resistente Multi-Faktor-Authentifizierung umgehen – ohne die zugrunde liegende Kryptographie zu brechen. Die Attacken exploitierten stattdessen signierte Authentifizierungsdaten, die Windows exponiert hatte, missbrauchten cloud-synchronisierte Passkey-Systeme von bereits kompromittierten Maschinen und nutzten weitere Vektoren aus.
Hintergrund & Bedeutung
Passkeys gelten als Nachfolger für wiederverwendbare Passwörter und sollen Phishing-Attacken verhindern. Sie basieren auf Public-Key-Kryptographie und versprechen höhere Sicherheit. Diese neuen Forschungsergebnisse zeigen jedoch, dass die praktische Implementierung erhebliche Risiken bergen kann. Besonders cloud-synchronisierte Passkey-Lösungen sind anfällig, wenn Malware bereits Zugriff auf das Gerät hat. Die Schwachstellen untergraben das Vertrauen in diese modernen Authentifizierungsmechanismen erheblich.
Empfehlungen für IT-Teams
- Geräte-Sicherheit priorisieren: Endpoint Protection und EDR-Lösungen verstärken, um Malware-Infektionen zu vermeiden
- Passkey-Implementierung überprüfen: Nur Lösungen verwenden, die lokale Speicherung ohne Cloud-Synchronisation ermöglichen
- Defense-in-Depth: Zusätzliche Sicherheitsebenen wie Hardware-Security-Keys einsetzen
- Monitoring aktivieren: Verdächtige Authentifizierungsvorgänge überwachen und loggen
- Hersteller-Updates: Sicherheitspatches von Microsoft, Apple und anderen Anbietern zeitnah einspielen
Fazit
Passkeys sind kein Allheilmittel gegen Sicherheitsrisiken. Eine sichere Implementierung, kombiniert mit umfassendem Device-Management und Threat Detection, ist unerlässlich. IT-Teams sollten diese Erkenntnisse in ihre Zero-Trust-Strategien integrieren.
Quelle: Original Artikel