ثلاث هجمات Pass-ta-key تخترق مفاتيح المرور المتزامنة في Google Chrome

في 3 أغسطس 2026، كشفت شركة Palo Alto Networks، عبر فريقها البحثي Unit 42، عن ثلاث هجمات جديدة أُطلق عليها تسمية "Pass-ta-key"، تستهدف بشكل مباشر مفاتيح المرور المتزامنة من خلال Google Password Manager على أجهزة Windows التي تم اختراقها مسبقاً. تتيح هذه الهجمات للبرامج الضارة تجاوز آليات التحقق من المستخدم، والاستيلاء على الحسابات، واستخراج المفاتيح الخاصة لمفاتيح المرور. يُنظر إلى مفاتيح المرور كطريقة مصادقة لا تعتمد على كلمات السر وتستخدم مفاتيح تشفير مخزنة على جهاز المستخدم لتسجيل الدخول، وهي تعد أكثر أمانًا من كلمات المرور التقليدية، وفقاً لوثائق Google، لكونها "لا يمكن مشاركتها، نسخها، تدوينها، أو إعطائها لشخص آخر بطريق الخطأ." ومع ذلك، تتطلب جميع هجمات Pass-ta-key وجود برمجيات خبيثة تعمل بالفعل على جهاز الكمبيوتر الخاص بالضحية. تكمن خطورة هذه الهجمات في أنها لا تكسر التشفير الأساسي لمفاتيح المرور، بل تستغل نقاط ضعف حرجة في كيفية تعامل Chrome والمُصادق السحابي من Google مع ثقة الجهاز، وعمليات الإعداد الأولية، واسترداد الحسابات، وبيانات الاعتماد المتزامنة.

التحليل التقني

حدد باحثو Unit 42 ثلاث تقنيات هجومية متمايزة تستغل نقاط ضعف في تطبيق Google لمفاتيح المرور، لا في مبدأ التشفير الخاص بها. هذه التقنيات هي:

• Pass-ta-key: تسمح هذه التقنية للبرمجيات الخبيثة غير المميزة بانتحال صفة جهاز موثوق به. تستخدم البرامج الضارة مفتاح هوية الجهاز المدعوم بوحدة Trusted Platform Module (TPM) في Chrome لتوقيع طلب مصادقة يُرسل إلى المُصادق السحابي من Google. لا يتطلب هذا الهجوم امتيازات إدارية، أو تفاعل المستخدم، أو مصادقة بيومترية. يستجيب المُصادق السحابي بـ "assertion" موقعة. ومع ذلك، تتضمن هذه الاستجابة علامة "User Verified"؛ إذا كانت الخدمة تتطلب وتتحقق بشكل صحيح من هذه العلامة، يفشل الهجوم. نجح الهجوم ضد eBay، الذي لم يتحقق من صحة العلامة، وفشل ضد GitHub الذي طبق التحقق السليم.
• Silver Pass-ta-key: تسمح للمهاجمين بتسجيل مفتاح التحقق الخاص بهم للمستخدم. تجبر البرامج الضارة متصفح Chrome على إعادة تسجيل الجهاز عن طريق إلغاء صلاحية المفتاح الحالي أو حذف ملف حالة مفتاح المرور المحلي. أثناء هذه العملية، يمكن للمهاجم تسجيل مفتاح يتحكم به لأن المُصادق السحابي لا يتحقق من مصدر المفتاح الجديد. بمجرد تسجيل المفتاح الخبيث، تقبل Google طلبات المصادقة الموقعة به كدليل على تحقق المستخدم، مما يتيح للمهاجم الوصول إلى الحسابات الحساسة حتى من نظام آخر.
• Golden Pass-ta-key: الأخطر، حيث يتيح للبرامج الضارة الحصول على المفتاح الرئيسي لتشفير جميع مفاتيح المرور المتزامنة، المعروف بـ "security domain secret" (SDS). يُرسل هذا المفتاح مؤقتاً إلى Chrome أثناء تسجيل الجهاز أو استعادة الوصول. اكتُشف أن Chrome كان يعرض SDS كنص عادي في سجلات FIDO الداخلية، رغم أن Google أزالت هذه المشكلة بعد الإبلاغ. لكن Unit 42 أكدت أن SDS لا يزال يُرسل إلى العميل ويظل متاحاً مؤقتاً في ذاكرة عملية المتصفح. يمكن للمهاجمين، عن طريق إجبار الضحية على إعادة التسجيل، استخراج SDS مباشرة من الذاكرة لفك تشفير واستعادة جميع مفاتيح المرور الخاصة بالضحية، بما في ذلك المفاتيح المستقبلية. تكمن خطورة ذلك في عدم وجود آلية لدى Google لتدوير أو إلغاء صلاحية هذا المفتاح المسروق حالياً.

السياق وتأثير السوق

تضع هجمات Pass-ta-key هذه مفاتيح المرور، التي روجت لها Google والصناعة على نطاق واسع كبديل أكثر أمانًا لكلمات المرور التقليدية، في سياق جديد. فبينما ظلت كلمات المرور عرضة لهجمات التصيد الاحتيالي وإعادة الاستخدام والتخمين، كان الافتراض الأساسي لمفاتيح المرور هو حصانتها من هذه المخاطر. أشار تقرير BleepingComputer إلى أن وثائق Google نفسها تنص على أن مفاتيح المرور لا يمكن مشاركتها أو نسخها، مما يجعلها أكثر أمانًا ضد التصيد. هذه الهجمات لا تدحض فعالية مفاتيح المرور ضد التصيد المباشر، ولكنها تكشف عن نقاط ضعف حرجة في تطبيقها، خاصة عندما يتم اختراق الجهاز الأساسي. على عكس أنظمة المصادقة الثنائية التقليدية التي تعتمد على رموز لمرة واحدة أو تطبيقات مصادقة مستقلة، فإن الاعتماد على الجهاز وثقة Google به هو نقطة الضعف هنا. يُعد هذا تحولاً في المشهد الأمني؛ حيث كان التركيز سابقًا على حماية بيانات الاعتماد أثناء النقل أو التخزين المركزي، لكن الآن أصبح اختراق الجهاز النهائي نقطة دخول حرجة حتى لأكثر طرق المصادقة تقدماً. تتطلب هذه الحالة من Google والمطورين الآخرين إعادة تقييم جدية لآليات استرداد الحسابات وتسجيل الأجهزة، وتأمين الذاكرة في المتصفحات بشكل أفضل. ففي حين أن وحدات Trusted Platform Module (TPM) تُستخدم لتوفير أساس للثقة بالجهاز، فإن هذه الهجمات تجاوزت طبقة الحماية هذه عن طريق التلاعب بسلوك Chrome والمُصادق السحابي، لا بكسر تشفير TPM نفسه. تُظهر المشكلة التي واجهتها eBay، حيث تم تجاوز التحقق من المستخدم، أن الفشل لا يقتصر على Google فقط، بل يمتد إلى كيفية قيام الخدمات الأخرى بتنفيذ التحقق من مفاتيح المرور.

رؤية Glitch4Techs

إن هجمات Pass-ta-key ليست مجرد دليل آخر على استمرارية تحديات الأمن السيبراني، بل هي إدانة واضحة لمزاعم الحماية المطلقة لمفاتيح المرور في بيئة تشغيلية مخترقة. الحكم الصادر عن Glitch4Techs لا هوادة فيه: إن الافتراض بأن مفاتيح المرور تحل مشكلات الأمن جذرياً هو افتراض ساذج في ظل هذه النتائج. النقطة الفاصلة تكمن في أن "SDS لا يزال يُرسل إلى العميل ويظل متاحاً بشكل مؤقت في ذاكرة عملية المتصفح" وفقاً لتقرير Unit 42. هذا الكشف، حتى بعد إزالة Google للمعلومات من السجلات، يمثل ثغرة هيكلية حرجة. الفشل في تأمين هذا المفتاح الرئيسي – الذي يفك تشفير كافة مفاتيح المرور المتزامنة ولا يمكن تدويره أو إلغاء صلاحيته حالياً – يضع المستخدمين تحت خطر دائم. هذا الخطر لا يقتصر على اللحظة الراهنة، بل يمتد للمستقبل. إن الإجراءات المتخذة حتى الآن من قبل Google، وإن كانت ضرورية، تظل غير كافية، ويجب عليها تقديم حلول أعمق تتجاوز مجرد إخفاء الثغرات عن السجلات.