新たに公開された「Pass-the-Passkey」と呼ばれる一連の攻撃手法は、秘密鍵がハードウェアセキュリティキーや信頼できるデバイスのエンクレーブ内に留まっている場合でも、WebAuthnの実装上の弱点がパスキー保護を無効化しうることを示しています。
SpecterOpsの研究者らは、Windows 11、Microsoft Entra ID、各種Webブラウザ、パスワードマネージャー、そして企業の認証ワークフローに影響する20種類以上の攻撃手法を特定しました。
これらの手法はFIDO2の暗号方式そのものを破ったり秘密鍵を抽出したりするものではありません。その代わりに、エンドポイントのログ記録、サーバー側のアサーション検証、認証プロンプト、アプリケーションのインターフェースといった、パスキーを取り巻くエコシステムを悪用します。
最も深刻な攻撃チェーンは、Windowsのイベントログ記録の欠陥と、Microsoft Entra IDにおけるWebAuthn検証の不備を組み合わせたものです。Microsoftによる修正が行われる以前、WindowsはMicrosoft-Windows-WebAuthN/OperationalイベントログにWebAuthnアサーション応答の全体を記録していました。
WebAuthnアサーションとは、ユーザーがパスキー要求を承認した後に生成される、署名付きの認証応答です。これには認証情報識別子、オーセンティケータデータ、チャレンジ関連情報、ユーザーハンドル、そして暗号署名が含まれる場合があります。
アサーション自体はパスキーの秘密鍵ではありませんが、それでも機微な認証データであることに変わりはなく、本来のログイン処理以外で再利用されるべきものではありません。
SpecterOpsの調査によれば、影響を受けるシステムにローカルアクセスできるユーザーは、Windowsのイベントビューアーから過去のアサーションを取得できるとのことです。これは、特権を持つクラウド管理者が共有端末やリモートアクセス可能な端末、あるいは侵害された端末を使用している場合に、特に危険性が高まります。
攻撃者は記録されたアサーションデータを収集し、それを認証エンドポイントに再送信することを試みる可能性があります。
本来であれば、WebAuthnのリライング・パーティは、ワンタイムのチャレンジを生成し、各チャレンジを特定のログインセッションに紐付け、再利用された要求を拒否し、可能な場合はオーセンティケータの署名カウンターの挙動を検証することで、こうした再送を防ぐべきです。
SpecterOpsの報告によれば、Microsoft Entra IDは該当のシナリオにおいて、これらの制御を一貫して適用していませんでした。この弱点により、捕捉されたアサーションデータの再送や、フィッシング耐性MFAの要件を満たしたまま行われるユーザーへのなりすましが可能になっていました。
Microsoftは、2026年7月14日のセキュリティ更新プログラムにおいて、このWindowsのログ記録に関する弱点をCVE-2026-34348として対処しました。問題はWindowsイベントログサービスに存在し、WebAuthnアサーションデータがイベントログに露出する原因となっていました。
パッチが適用されたシステムでは、ログに保存される署名部分が6バイトに切り詰められるようになり、限定的なトラブルシューティング機能を維持しつつ、イベントエントリが完全な再送可能アサーションとして利用されることを防いでいます。
この修正により再送攻撃チェーンの重要な構成要素は取り除かれましたが、今回の調査結果は、パスキーを使用するだけではフィッシング耐性が保証されるわけではないという点を改めて示しています。
認証のセキュリティは、エンドポイントがWebAuthnの各種データをどのように扱うか、そしてリライング・パーティがすべての認証応答を厳格に検証しているかどうかにも左右されます。
再送攻撃以外にも、今回の調査では、暗号鍵素材を盗み出すことなく正規のWebAuthnインターフェースを悪用するローカル攻撃手法についても文書化されています。
侵害された端末上で動作するマルウェアは、パスキーAPIを呼び出して認証要求を表示させたり、プロンプトを繰り返し発生させてユーザーに「確認疲れ」を引き起こしたり、要求元アプリケーションの情報を操作して要求を信頼できるものに見せかけたりすることが可能です。
その一つが、Windowsの資格情報UIウィンドウハンドルの挙動を悪用する手法です。悪意のあるプロセスは、パスキーのダイアログをブラウザや企業向け業務ツールといった正規のアプリケーションウィンドウに関連付けられているように見せかけることを試みる場合があります。
これにより、不正なプロンプトがより説得力を持つように見え、ユーザーがそれを承認してしまう可能性が高まります。Microsoftはこのウィンドウハンドルのなりすまし手法について、深刻度は低い多層防御上の懸念事項であると評価しているとされています。
組織は、CVE-2026-34348に対処するWindows更新プログラムを速やかに展開し、特権を持つエンドポイントが2026年7月のセキュリティリリースを確実に適用済みであることを確認する必要があります。
サーバー側のWebAuthn実装は、一意でワンタイムのチャレンジを生成し、それをアクティブなセッションに紐付け、再送防止およびカウンター検証の要件を満たさないアサーションを拒否しなければなりません。
セキュリティチームはまた、WebAuthnのイベントログへのアクセスを監視し、信頼できないプロセスからの予期しないWebAuthn API呼び出しを調査し、特権を伴う管理業務は堅牢化・分離された専用ワークステーションに限定すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/pass-the-passkey-attack/
