Uma análise detalhada da arquitetura de passkey do Google Authenticator revelou potenciais vulnerabilidades que poderiam abrir novos caminhos de ataque para a autenticação sem senha. A suposta segurança da autenticação sem senha, que substituiu as senhas tradicionais por chaves criptográficas ligadas a dispositivos físicos, pode não ser tão segura quanto se pensava.
Detalhes Técnicos
A arquitetura de passkey do Google Authenticator pode ser vulnerável a ataques de injeção de chaves (key injection attacks), onde um atacante pode forçar a criação de uma chave de autenticação falsa.
A falta de autenticação de dispositivos (device authentication) pode permitir que um atacante use uma chave de autenticação válida em um dispositivo diferente.
A exposição de chaves (key exposure) pode ocorrer se um atacante conseguir acessar a chave de autenticação de um usuário.
A autenticação sem senha (passwordless authentication) pode ser vulnerável a ataques de phishing (phishing attacks), onde um atacante pode enganar um usuário para revelar sua chave de autenticação.
