Descoberta e escopo
Uma nova família de ataques Pass-the-Passkey demonstra como falhas de implementação no WebAuthn podem comprometer a segurança de chaves de acesso, mesmo quando as chaves privadas criptográficas permanecem armazenadas com segurança em tokens de hardware ou enclaves confiáveis. A pesquisa da SpecterOps destaca três vulnerabilidades centrais no ecossistema WebAuthn e mais de 20 técnicas de ataque distintas que impactam Windows 11, Microsoft Entra ID, navegadores web, gerenciadores de senhas e fluxos de autenticação empresarial.
A cadeia de ataque primária identificada pela SpecterOps decorre do Windows 11 registrar respostas de asserção WebAuthn completas e não truncadas geradas durante eventos de autenticação de passkey. Essas asserções sensíveis, contendo assinaturas criptográficas e dados de autenticador, foram escritas diretamente nos Logs de Eventos do Windows.
O que mudou agora
Um atacante com acesso local ou delegado a um endpoint compartilhado ou comprometido pode colher essas asserções e reutilizá-las contra pontos de autenticação que não possuem validação rigorosa de anti-replay. Quando administradores de nuvem privilegiados autenticam a partir de estações de trabalho comprometidas, os atacantes podem exfiltrar material de asserção registrado para se passar por essas identidades sem precisar roubar chaves privadas.
Manter controles de segurança estritos do Windows 11 é essencial para prevenir a colheita de logs locais. Em um whitepaper técnico publicado pela SpecterOps, os pesquisadores divulgaram que o Microsoft Entra ID exacerbou o impacto da exfiltração de asserção ao omitir verificações anti-replay do WebAuthn essenciais durante a validação do lado do servidor.
Vetor e exploração
Especificamente, o Entra ID falhou em: verificar a unicidade do desafio ou impedir a reutilização do desafio entre solicitações; vincular desafios de autenticação diretamente a sessões de usuário individuais; rastrear e avaliar incrementos de contador de assinatura do autenticador. A combinação de registro de asserção do Windows com lacunas de validação do Entra ID permitiu ataques de Replay de Passkey práticos que concederam acesso não autorizado a contas de nuvem Microsoft privilegiadas, cumprindo requisitos de Autenticação Multifator (MFA) resistentes a phishing.
Além do replay de asserção, a pesquisa revela que malware local pode usar APIs legítimas do WebAuthn para criar prompts de autenticação persuasivos sem extrair material de chave privada. Adversários podem combinar hooking de API WebAuthn com: Prompt Flooding (disparar repetidamente prompts de credencial para induzir fadiga do usuário); Spoofing de Identidade de Aplicativo (alterar parâmetros de chamada para imitar aplicativos empresariais legítimos); Remote Desktop Pass-Through (tunelar solicitações de passkey através de sessões RDP ativas); Spoofing de Handle de UI de Credencial (sobrepor quadros de UI maliciosos em janelas autênticas de UI de Credencial do Windows).
Impacto e alcance
A Microsoft revisou a técnica relatada de spoofing de handle de janela de UI de Credencial e a classificou como uma questão de baixa severidade de defesa em profundidade. Para ajudar defensores a auditar seus ambientes, a SpecterOps lançou utilitários de código aberto para injeção de asserção, mineração de logs de eventos e hooking de API WebAuthn.
A Microsoft abordou a vulnerabilidade de registro de asserção rastreada como CVE-2026-34348 em seu lançamento de segurança de 14 de julho de 2026. Sistemas Windows 11 totalmente corrigidos truncam campos de assinatura dentro de asserções registradas para seis bytes, impedindo replay de asserção enquanto preservam dados diagnósticos necessários para administradores de TI.
Medidas de mitigação recomendadas
Aplicar atualizações de segurança do Windows a tempo, juntamente com endurecimento de segurança do kernel, permanece crítico para mitigar a exposição de asserção local. Para mitigar riscos de replay de passkey e spoofing de UI, as organizações devem adotar os seguintes controles: Manter endpoints OS atualizados (Windows 11 corrigidos após julho de 2026 para forçar truncamento de assinatura sob CVE-2026-34348); Forçar proteções de replay do lado do servidor (configurar servidores Relying Party para vincular desafios a sessões de usuário ativas e rastrear estritamente contadores de assinatura); Monitorar execução WebAuthn local (auditar telemetria de processo para aplicativos não confiáveis ou não aprovados invocando APIs WebAuthn); Forçar políticas de atestação (exigir atestação de passkey baseada em hardware para contas administrativas de alto privilégio dentro do Entra ID).
O que os CISOs devem fazer imediatamente
1. Garantir que todos os endpoints Windows 11 estejam corrigidos com o patch de julho de 2026. 2. Revisar configurações do Entra ID para garantir validação de desafios e contadores. 3. Implementar monitoramento de logs de eventos para asserções WebAuthn incomuns. 4. Exigir atestação de hardware para contas administrativas. 5. Auditar aplicações que invocam APIs WebAuthn.