30 секунд
Разбор Ars Technica от 11 августа связывает Pass-ta-key с уже заражённым Windows-компьютером, где открыт доступ к Google Password Manager. Описанная атака использует возможности синхронизации, а не доказывает взлом криптографии passkey. Издание объясняет, почему хранение ключей и границы доступа приложений различаются между платформами. Защита от фишинга при входе на сайт не означает защиту всех данных на скомпрометированном устройстве.
Подробнее
В материале от 11 августа 2026 года Ars Technica разбирает Pass-ta-key — описанную исследователем Palo Alto Networks возможность получить ключи Google Password Manager через заражённый Windows-компьютер. Существенное условие — устройство уже скомпрометировано и имеет доступ к учётной записи. Речь не о взломе сайта одним лишь знанием имени пользователя.
Издание объясняет, что FIDO2 не требует единственного способа хранения passkey в TPM. Для Windows оно описывает схему Google Password Manager с зашифрованным хранением на сервере и авторизованным устройством. Это отличается от представления, будто каждый ключ обязательно навсегда заперт в одном аппаратном модуле.
Один из описанных вариантов злоупотребляет переносом синхронизированных ключей на новое устройство. Автор материала считает такую угрозу следствием компрометации доверенного клиента, а не новой универсальной слабостью passkey. Его разбор не подтверждает одинаковую уязвимость всех менеджеров и платформ: способы хранения и изоляция приложений различаются.
Что это значит
Pass-ta-key помогает точнее выбрать границу обсуждаемой защиты. Ключ доступа может устранять общий секрет, который пользователь способен передать поддельному сайту, и одновременно оставаться доступным через уже захваченное доверенное устройство. Эти утверждения относятся к разным угрозам и не противоречат друг другу.
Поэтому описанный сценарий не делает пароль и passkey равнозначными во всех ситуациях. Для оценки важны менеджер, способ хранения и состояние конечного устройства. Разбор Ars Technica показывает ограничение защищённого входа: он сам по себе не возвращает доверие к компьютеру, на котором уже действует вредоносная программа.
