Passkey 作為一種旨在取代傳統密碼的驗證技術，其核心目標是提供抗釣魚（Phishing-Resistant）的安全性。它基於公鑰加密技術，讓使用者無需記憶複雜密碼，且能有效防止攻擊者透過偽造登入頁面竊取憑據。然而，根據 The Hacker News 報導的三項獨立研究顯示，即便 Passkey 的底層加密數學邏輯依然穩固，但其在作業系統與瀏覽器中的實作流程（Implementation）卻存在漏洞，導致攻擊者能繞過多因素驗證（MFA）或直接恢復私鑰。
背景與核心問題
這三項研究共同揭示了一個關鍵事實：攻擊者不需要破解 FIDO2 等加密標準，只要利用系統在處理驗證過程中的疏失，就能達成盜用身分的結果。目前 Passkey 主要分為兩種形式：一種是綁定在特定硬體設備上的設備綁定（Device-bound），另一種則是可跨裝置同步的同步 Passkey（Synced Passkeys）。研究發現，無論選擇哪一種形式，只要端點設備（Endpoint）被攻陷，依然存在被利用的風險。
攻擊路徑一：利用 Windows 日誌洩漏進行重放攻擊
安全公司 SpecterOps 在 Black Hat USA 2026 上展示了一種名為 Pass-the-Passkey 的攻擊手法。研究發現，Windows 的事件記錄服務（Windows Event Logging Service）存在資訊洩漏漏洞（CVE-2026-34348），會將過去 YubiKey 等硬體金鑰產生的簽名（Signature）以明文形式儲存。
在正常的流程中，簽名應是一次性的，但 SpecterOps 發現 Microsoft Entra ID（原 Azure AD）在驗證 Passkey 時存在缺陷，允許攻擊者重複使用這些被記錄下來的舊簽名。這意味著攻擊者不需要從硬體金鑰中提取私鑰，只需讀取 Windows 日誌中的簽名，即可在滿足抗釣魚 MFA 政策的情況下，冒充高權限使用者登入。
攻擊路徑二：針對 Google 同步 Passkey 的私鑰恢復
Unit 42 針對 Chrome 瀏覽器中的 Google 密碼管理員（Google Password Manager）進行研究，發現同步 Passkey 的保護機制存在漏洞。同步 Passkey 為了方便使用者跨裝置使用，會使用一個名為 Security Domain Secret 的 32 位元主金鑰來保護同步的私鑰。
研究人員發現，這個主金鑰曾出現在 Chrome 的設備日誌中，且在重新註冊過程中會暫時存在於記憶體內。如果攻擊者的惡意軟體已在受害者電腦上運行，即使沒有管理員權限，也能從記憶體中獲取該主金鑰，進而還原出受害者的 Passkey 私鑰。由於目前的設計缺乏輪轉（Rotate）或撤銷（Revoke）該主金鑰的機制，一旦洩漏，其影響將是持久性的。
攻擊路徑三：繞過 Windows Hello 的生物辨識驗證
獨立研究員 Dirk-jan Mollema 則聚焦於 Windows Hello for Business。這類金鑰通常儲存在 TPM（可信賴平台模組，一種硬體安全晶片）中，無法被直接匯出。然而，Mollema 發現，若惡意程式已在已登入的用戶會話中執行，它可以直接調用 Windows 的加密介面來使用該金鑰，而無需再次觸發 PIN 碼或生物辨識（如指紋、面部識別）的驗證提示。
此外，他發現 Microsoft Entra ID 的 WebAuthn 挑戰碼（Challenge）有效期長達五分鐘，且未與特定會話或租戶綁定。攻擊者可以在自己的系統上請求挑戰碼，將其傳送到受害者的受控機器上由 Windows Hello 金鑰簽名，再將結果傳回，從而成功登入。
技術脈絡與實務影響
這三場攻擊的共同點在於，它們並非針對加密演算法本身，而是針對驗證鏈條中的周邊控制（Surrounding Controls）。
首先，SpecterOps 證明了當系統不慎洩漏已簽名的驗證材料且伺服器端驗證不嚴時，會產生重放攻擊（Replay Attack）的風險。其次，Unit 42 揭示了同步機制在權限管理與金鑰保護上的弱點，顯示同步 Passkey 在便利性與安全性之間存在權衡。最後，Mollema 的研究則提醒，硬體綁定金鑰雖然防止了私鑰被盜走，但無法防止被授權的本地程序在用戶不知情的情況下「借用」金鑰進行簽名。
對於企業而言，這意味著即便部署了最頂級的抗釣魚 MFA，如果端點設備被植入惡意軟體，Passkey 仍可能被繞過。
限制與防禦建議
需要注意的是，上述攻擊（尤其是 Unit 42 與 Mollema 的研究）都前提是攻擊者已在受害者的端點設備上取得了執行權限，而非從遠端直接攻破。因此，Passkey 依然比傳統密碼安全得多，因為它依然能抵禦大規模的遠端釣魚攻擊。
針對這些漏洞，目前的對策包括： 第一，立即安裝 Microsoft 針對 CVE-2026-34348 的安全性更新，修補 Windows 日誌洩漏問題。 第二，服務提供商應嚴格執行 WebAuthn 的使用者驗證（User Verification）標記，確保驗證請求確實經過用戶互動。 第三，採取零信任（Zero Trust）模型與最小權限原則，並加強對端點記憶體與瀏覽器快取的監控。 第四，針對 Entra ID 管理員，應監控缺乏設備識別碼（Device ID）的異常 Windows Hello 驗證行為。
隨著 Microsoft 計劃在 2026 年起將 Passkey 推廣至更多 Entra ID 用戶，並逐步淘汰 SMS 與語音驗證，實作細節的安全性將變得至關重要。Passkey 提供了一個強大的基礎，但其最終安全性取決於作業系統、瀏覽器與雲端驗證端如何協作地執行每一道防線。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。