Grafnetter bezeichnet die von ihm beschriebene Angriffskette als „Pass-the-Passkey“. Der Name lehnt sich an bekannte Windows-Angriffstechniken wie Pass-the-Hash und NTLM Relay an, bei denen Authentifizierungsdaten abgegriffen und erneut verwendet werden, ohne das eigentliche Passwort zu kennen. Gegenüber Dark Reading sagte Grafnetter, Passkeys seien zwar ein deutlicher Fortschritt gegenüber Passwörtern, aber „keine Magie“. Wenn die umgebende Implementierung fehlerhaft sei, könnten Angreifer trotz intakter WebAuthn-Kryptografie wieder Replay-, Relay- und phishing-ähnliche Angriffswege nutzen.
WebAuthn ist die zugrunde liegende Technik hinter Passkeys und wurde gemeinsam vom World Wide Web Consortium (W3C) und der FIDO Alliance entwickelt. Laut SpecterOps zeigte die Analyse jedoch, dass Windows 11 im Wesentlichen eine vollständige Kopie des digitalen Schlüssels in das Ereignisprotokoll schrieb. Hinzu kam nach Angaben von Grafnetter, dass Entra ID die erneute Verwendung dieser Assertions nicht korrekt verhinderte. Besonders aufmerksam sein sollten demnach Organisationen, die Windows Hello oder FIDO2-Sicherheitsschlüssel wie Yubikeys zusammen mit Entra ID einsetzen.
Die Folge dieser Kombination: Ein Angreifer könnte die Schwachstellen nutzen, um privilegierte Cloud-Benutzer zu imitieren und Anforderungen an phishing-resistente MFA zu umgehen. Grafnetter betont, dass das eigentliche Risiko nicht im Standard liege, sondern in unvollständigen oder falschen Implementierungen. Entwicklern rät er deshalb, auf gut getestete WebAuthn-Frameworks zu setzen, statt eigene Lösungen zu bauen, weil die Validierung von Passkeys komplexe Kryptografie und mehrere wichtige Prüfschritte umfasst.
Besonders bemerkenswert ist für SpecterOps, dass selbst Microsoft als Mitautor des Standards einige der laut Spezifikation erforderlichen Validierungsschritte für WebAuthn-Assertions übersehen habe. Die Forscher meldeten ihre Ergebnisse an Microsoft. Nach Grafnetters Darstellung hat das Unternehmen „still eine Gegenmaßnahme in seinen Cloud-Diensten eingeführt“. Entdeckt habe er die Korrektur erst, als er Demonstrationen für seinen Black-Hat-Vortrag aufzeichnete.
Die zentrale Windows-Schwachstelle erhielt die Kennung CVE-2026-34348. Microsoft beschreibt sie als „Versagen eines Schutzmechanismus im Windows Event Logging Service, das einem Angreifer die Offenlegung von Informationen über ein Netzwerk ermöglichen könnte“. Gepatcht wurde die Lücke am 14. Juli; laut Grafnetter war dies der letzte Patch Tuesday vor der Black Hat-Konferenz.
Für privilegierte Nutzer empfiehlt Grafnetter gerätegebundene Passkeys, die Durchsetzung von Attestation und keine ausschließliche Abstützung auf phishing-resistente MFA als einzige Schutzschicht. Zudem verweist er darauf, dass neben der Passkey-Kryptografie auch Endpunktsicherheit und serverseitige Validierung entscheidend bleiben. Organisationen sollten Windows 11 patchen, Codeausführung einschränken, Arbeitsstationen für privilegierten Zugriff verwenden und den entfernten Zugriff auf Protokolle begrenzen. Trotz der Befunde bleibt Grafnetter nach eigenen Worten „optimistisch hinsichtlich der Sicherheit von Passkeys“ und empfiehlt ihre Einführung weiterhin, weil die beschriebenen Angriffswege deutlich komplexer seien als bei traditionellen Passwortangriffen.