SpecterOps stellte seine Forschung „Pass-the-Passkey“ auf der Black Hat USA 2026 vor. Nach Angaben des Unternehmens speicherte Windows frühere YubiKey-Signaturen im Klartext so, dass authentifizierte, nicht privilegierte Nutzer, einschließlich entfernter Nutzer, sie auslesen konnten. In Verbindung mit Schwächen bei der Passkey-Validierung in Microsoft Entra ID habe sich damit die Identität privilegierter Nutzer vortäuschen lassen, obwohl Richtlinien phishing-resistente Mehrfaktor-Authentifizierung verlangten.
Der Windows-Aspekt dieser Kette wird als CVE-2026-34348 geführt, eine Informationsleck-Schwachstelle im Windows Event Logging Service. Microsoft beziffert den CVSS-Wert des Herstellers mit 6,5 und stellt Sicherheitsupdates bereit. Betroffen sind laut den Produktangaben des CVE Einführungen über Windows 10, Windows 11 und Windows Server hinweg. Microsoft sagte The Hacker News außerdem, man habe auch Gegenmaßnahmen für das gemeldete Problem mit weitergereichten Passkey-Assertions umgesetzt. Technische Details zum Umfang dieser separaten Entra-seitigen Maßnahmen nannte das Unternehmen nicht.
Microsofts zuletzt am 3. August 2026 aktualisierte Entra-Migrationsanleitung beschreibt Passkeys weiterhin als resistent gegen Wiederholungsangriffe. Ein Microsoft-Sprecher erklärte gegenüber The Hacker News, man danke SpecterOps für die koordinierte Meldung der Schwachstelle, habe Schutzmaßnahmen für das berichtete Problem mit weitergereichten Passkey-Assertions umgesetzt und investiere weiter in Sicherheitsverbesserungen über verschiedene Authentifizierungsmethoden hinweg.
Unit 42 untersuchte unter dem Namen „Pass-ta-key“ das synchronisierte Passkey-System von Google Password Manager in Chrome auf Windows. Alle drei beschriebenen Angriffe setzen voraus, dass bereits Schadsoftware auf dem Endpunkt des Opfers läuft; eine Ausweitung auf Administratorrechte ist dafür nicht nötig. Ein erster Angriffsweg missbraucht laut Unit 42 Chromes Mechanismen zur Geräteidentität, um die nötigen Signaturen zu erhalten und sich ohne neue Geräteentsperrung oder Nutzerinteraktion wie ein legitimer Client von Google Password Manager zu verhalten. Die Forscher demonstrierten die Technik gegen eBay, obwohl die Seite eine Nutzerverifikation anforderte. Nach dem Hinweis der Forscher änderte eBay die Validierung des WebAuthn-Flags zur Nutzerverifikation.
Die folgenreichste Variante namens „Golden Pass-ta-key“ zielt auf das Security Domain Secret, einen 32 Byte großen Hauptschlüssel zum Schutz synchronisierter Passkeys. Unit 42 fand dieses Geheimnis zunächst in der Geräteprotokollierung von Chrome offengelegt. Google entfernte es nach dem Bericht aus dieser Protokollausgabe. Nach Angaben der Forscher befindet sich das Geheimnis bei einer erneuten Registrierung jedoch weiterhin vorübergehend im Prozessspeicher von Chrome. Mit diesem Wert könne ein Angreifer die privaten Schlüssel der synchronisierten Passkeys des Opfers wiederherstellen. Unit 42 zufolge gibt es in der aktuellen Implementierung von Google keine Möglichkeit, das Security Domain Secret zu rotieren oder zu widerrufen.
Mollema richtet den Blick auf Windows Hello for Business. Auf den meisten modernen Windows-Geräten ist der zugrunde liegende Schlüssel durch das Trusted Platform Module geschützt und nicht einfach exportierbar. Software in der Sitzung des Opfers kann diesen nicht exportierbaren Schlüssel aber dennoch verwenden. Mollema zeigte, dass ein Prozess mit niedrigen Rechten in einer bereits kompromittierten Benutzersitzung Windows-Kryptografie-Schnittstellen aufrufen kann, um den Windows-Hello-for-Business-Schlüssel ohne neue PIN- oder Biometrieabfrage zu nutzen. Anschließend verwendete er den Schlüssel als FIDO2-Zugangsdaten gegen Microsoft Entra ID.
Dabei stellte Mollema fest, dass die Entra-WebAuthn-Challenge fünf Minuten gültig ist und nicht an Sitzung, Benutzer oder Tenant gebunden wird. Eine auf dem System des Angreifers angeforderte Challenge kann demnach auf das Gerät des Opfers gebracht, dort mit dem Windows-Hello-Schlüssel signiert und als WebAuthn-Assertion zurückgegeben werden. Die resultierende Anmeldung kann laut Mollema Conditional-Access-Regeln erfüllen, die phishing-resistente Authentifizierung verlangen. Zudem könne dem resultierenden Token eine Geräte-ID-Claim fehlen, was einen Weg über die Geräteregistrierung zu einem Primary Refresh Token und zusätzlicher Persistenz öffne.
Der öffentliche Stand belegt nicht, ob die von SpecterOps und Mollema beschriebenen Entra-Verhaltensweisen auf derselben zugrunde liegenden Validierungsschwäche beruhen oder auf unterschiedlichen Prüfungen mit ähnlichem Ergebnis. Die drei Befunde sollten daher nicht zu einem einzigen Wiederholungsfehler zusammengezogen werden. Für Windows nennt der Quelltext als unmittelbare Maßnahme die Installation der anwendbaren Microsoft-Sicherheitsupdates für CVE-2026-34348. Außerdem sollten Dienste, die WebAuthn-Assertions akzeptieren, die angeforderte Nutzerverifikation auch tatsächlich durchsetzen. Microsoft erhöht die Bedeutung solcher Details zusätzlich: Ab dem 1. September 2026 werden Entra-ID-Nutzer, bei denen derzeit SMS- oder Sprach-Authentifizierung aktiviert ist, automatisch für Passkeys freigeschaltet und zur Registrierung bewegt; die von Microsoft bereitgestellte SMS- und Sprachauslieferung soll am 1. Februar 2027 auslaufen.