Windows, Chrome ve Microsoft Entra tarafında ortaya çıkan üç ayrı araştırma, passkey tabanlı oturum açmanın sanıldığı kadar tek parça bir güvenlik duvarı olmadığını gösterdi. Black Hat USA 2026’da paylaşılan bulgular, bazı senaryolarda imzalanmış kimlik doğrulama verilerinin yeniden kullanılabildiğini, bazı durumlarda senkronize passkey anahtarlarının kötü amaçlı yazılımla geri alınabildiğini, başka bir akışta ise Windows Hello for Business anahtarının kullanıcıdan yeni bir PIN ya da biyometrik onay istenmeden kullanılabildiğini ortaya koydu.
Üç çalışmanın ortak noktası, kriptografiyi kırmak değil; etraftaki uygulama ve doğrulama mekanizmalarını istismar etmek oldu. Araştırmacılar, Windows’un daha önce ürettiği imzaları sakladığı, Chrome’daki senkronize passkey yapısının cihaz üzerindeki kötü amaçlı yazılıma açıldığı ve Microsoft Entra ile yapılan oturumlarda bazı doğrulama kontrollerinin saldırgan lehine yeniden kullanılabildiği senaryoları anlattı.
Windows, Entra ve saklanan imzalar
SpecterOps, Windows ile Microsoft Entra ID arasında kurulan bir zincirin, phishing-resistant MFA şartı açık olsa bile ayrıcalıklı kullanıcıların taklit edilmesine izin verebildiğini açıkladı. Şirketin “Pass-the-Passkey” araştırması 5 Ağustos’ta Black Hat USA 2026’da sunuldu. Ana bulgu, Windows’un geçmişte oluşan YubiKey imzalarını düz metin olarak saklayabilmesi ve bu verilere yetkili olmayan oturumlardaki kullanıcıların, hatta uzaktan erişen kullanıcıların bile ulaşabilmesi oldu.
Bu zincirde saldırganın bir YubiKey’in ya da başka bir kimlik doğrulayıcının özel anahtarını ele geçirmesi gerekmiyor. SpecterOps’a göre tehlikeli olan, Windows’un tuttuğu ve Entra doğrulama akışında yeniden kabul edilebilen hazır bir imza. Araştırmacılar bu bulgunun kriptografiyi kırmakla aynı şey olmadığını, ancak savunma ekiplerinin önem verdiği sonucu, yani başka biri adına başarılı oturum açmayı üretebildiğini vurguladı.
Windows tarafındaki sorun CVE-2026-34348 olarak izleniyor. Bu açık, Windows Event Logging Service içinde yer alan bir bilgi sızıntısı problemi olarak tanımlandı ve Microsoft’un ürün kapsamı Windows 10, Windows 11 ile Windows Server sürümlerini içeriyor. Yine de CVE kapsamı, SpecterOps’un ortaya koyduğu tam passkey zincirinin listelenen her Windows sürümünde aynı biçimde çalıştığını tek başına göstermiyor. Microsoft, bu açığa ilişkin güvenlik güncellemesini yayımladı ve kendi açıklamasında CVSS puanını 6.5 olarak verdi. Açığın NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-34348
Şirket, The Hacker News’e yaptığı açıklamada passkey relay assertion ile ilgili bildirilen sorun için de azaltıcı önlemler uyguladığını, kimlik doğrulama yöntemleri boyunca güvenlik iyileştirmelerine yatırım yapmayı sürdürdüğünü söyledi. Microsoft sözcüsü, en az ayrıcalık ilkesinin benimsenmesini, phishing-resistant kimlik doğrulama yöntemlerinin kullanılmasını ve Zero Trust güvenlik modeline dayalı uç nokta korumasının sürdürülmesini önerdi.
Microsoft’un Entra geçiş rehberi 3 Ağustos 2026 tarihinde güncellendi ve passkey’leri hâlâ replay saldırılarına dayanıklı olarak tanımlamayı sürdürüyor. Ancak CVE-2026-34348 için yayımlanan kamu duyurusu, Windows Event Logging Service sorununu kapsarken, şirketin Entra tarafında uyguladığını söylediği ayrı azaltımların teknik kapsamına dair ayrıntı vermedi.
Aktarılanlara göre SpecterOps’un zinciri, Windows’un tuttuğu imzaları Entra ID’nin kabul ettiği bir akışa bağlayarak ayrıcalıklı kullanıcı taklidi yapılmasına imkân verdi. Bu durum, passkey’lerin kendisinden çok, onları çevreleyen saklama ve doğrulama katmanlarının nasıl uygulandığının belirleyici olduğunu gösteren örneklerden biri olarak sunuldu.
SpecterOps baş güvenlik araştırmacısı Michael Grafnetter, araştırmayı Black Hat USA 2026’da anlatırken, Windows’un geçmiş YubiKey imzalarını düz metin biçiminde tuttuğunu ve yetkisiz kullanıcıların bunları okuyabildiğini belirtti. Şirkete göre bu imzalar ile Microsoft Entra ID’deki passkey doğrulama zayıflıkları birleştirildiğinde, phishing-resistant MFA şartları sağlanmış görünse bile ayrıcalıklı kullanıcı taklidi mümkün hale geldi.
Windows’taki açık, Windows 10, Windows 11 ve Windows Server sürümlerini kapsayan yayımlı ürün listesinde yer alıyor. Microsoft’un duyurusu, sorunun Windows Event Logging Service ile bağlantılı bir bilgi sızıntısı olduğunu doğruluyor; ancak SpecterOps’un anlattığı tüm saldırı zincirinin her sürümde aynı biçimde çalıştığına dair doğrudan bir garanti vermiyor.
Chrome’daki senkronize passkey anahtarı ve “Golden Pass-ta-key”
Unit 42’nin “Pass-ta-key” araştırması, Chrome üzerinde çalışan Google Password Manager’ın senkronize passkey sistemini hedef aldı. Buradaki üç saldırı yolu da, saldırganın önce kurbanın uç noktasında çalışan kötü amaçlı yazılıma sahip olmasını gerektiriyor; araştırmacılar yönetici yetkisi yükseltmesi şartı aramayan senaryolar gösterdi.
İlk yol, Chrome’un cihaz kimliği mekanizmasını istismar ederek geçerli bir Google Password Manager istemcisi gibi davranmak için gereken imzaları elde ediyor. Bu akışta yeni bir cihaz kilidi açma ya da kullanıcı etkileşimi gerekmiyor. Unit 42, tekniği eBay üzerinde de gösterdi; site kullanıcı doğrulaması istese bile araştırmacılar yöntemi çalıştırabildi. Bulguların paylaşılmasının ardından eBay, WebAuthn user-verification bayrağını nasıl doğruladığını değiştirdi.
En ağır varyant ise “Golden Pass-ta-key” adını taşıyor ve Security Domain Secret adlı 32 baytlık anahtarı hedefliyor. Bu anahtar, senkronize passkey’leri korumak için kullanılıyor. Unit 42, bu gizlinin ilk olarak Chrome’un cihaz günlüğü kayıtlarında açık biçimde yer aldığını bulduğunu, Google’ın bildirimden sonra bu alanı log çıktısından kaldırdığını aktardı. Ancak araştırmacılar, sırrın yeniden kayıt işlemi sırasında Chrome süreç belleğinde geçici olarak hâlâ bulunduğunu söylüyor. Saldırgan bu değeri elde ederse kurbanın senkronize passkey özel anahtarlarını geri çıkarabiliyor.
Unit 42, Google’ın mevcut tasarımında Security Domain Secret için döndürme ya da iptal etme imkânı bulunmadığını da belirtti. Bu nedenle ele geçirme, tek bir giriş oturumundan daha kalıcı bir etki bırakabiliyor.
Google Password Manager tarafındaki senkronize yapıda ortaya çıkan bu bulgular, passkey’in cihazlar arasında taşınabilir olmasının tek başına yeterli olmadığını gösteren bir başka örnek olarak paylaşıldı. Buradaki saldırıların başlangıç noktası, zaten uç noktada çalışan kötü amaçlı yazılım; yani uzak bir kimlik doğrulama sunucusunu doğrudan kırmak değil, istemci güvenini bozan yerel erişim.
Unit 42’nin çalışmasında Chrome, saldırganın meşru bir Google Password Manager istemcisi gibi görünmesine yardımcı olan cihaz kimliği verilerini kullanabiliyor. Araştırmacılar, kullanıcı doğrulaması talep eden sitelerde dahi bu akışın işleye bildiğini gösterdi. eBay örneğinde doğrulama bayrağına ilişkin davranış değiştirildi, ancak araştırma bu tür bir kontrolün yanlış uygulanmasının saldırı zincirini nasıl etkileyebildiğini ortaya koydu.
Security Domain Secret’in senkronize passkey’leri koruyan merkezi rolü, tek bir değerin ele geçirilmesinin çok sayıda anahtara erişim anlamına gelebileceğini gösteriyor. Unit 42’nin anlatımına göre anahtarın loglardan temizlenmesi olumlu bir adım olsa da, yeniden kayıt sırasında süreç belleğinde görünür olması saldırı yüzeyini tamamen ortadan kaldırmıyor.
Araştırma, Google’ın mevcut mimarisinde bu gizli değeri döndürmek ya da geri almak için bir mekanizma sunmadığını da not düştü. Bu yüzden saldırı, yalnızca oturum bazlı bir sorun olarak kalmıyor; daha kalıcı bir hesap riski yaratabiliyor.
Chrome’daki bu bulgular, senkronize passkey ile cihaz bağlı passkey arasında seçilen modelin tek başına yeterli olmadığını da ortaya koydu. Araştırmacılar, asıl farkı yaratanın çevre kontrolleri, veri saklama biçimi ve istemci tarafındaki güven ilişkisi olduğunu aktardı.
Unit 42, saldırıların herhangi bir yönetici yükseltmesine ihtiyaç duymadan kurban cihazında çalışan kötü amaçlı yazılımla başladığını özellikle belirtti. Bu ayrım, çalışmayı doğrudan uzaktan kimlik doğrulama kırma girişiminden ayırıyor.
Google Password Manager içindeki senkronize passkey sistemi, cihaz kimliği ve kullanıcı doğrulama akışlarıyla birlikte çalışıyor. Araştırmacıların gösterdiği teknik, tam da bu birleşim noktasında bir sapma yaratıyor ve meşru istemci ile saldırgan yazılımı arasındaki çizgiyi bulanıklaştırıyor.
Security Domain Secret’in ele geçirilmesi halinde kurbanın senkronize passkey özel anahtarlarına ulaşılabildiği için, olay tek bir kimlik bilgisinin çalınmasından daha geniş bir maruziyet yaratıyor. Unit 42’nin tarif ettiği senaryo, özellikle tarayıcı belleği ve kayıt çıktıları gibi gözden kaçabilen alanların kimlik bilgisi depolama kapsamına girdiğini gösterdi.
Google, bildirim sonrası loglarda görünen gizli değeri kaldırdı. Buna karşın araştırmacılar, yeniden kayıt sırasında bellekte geçici görünürlüğün sürdüğünü söyledikleri için, bulguların saldırı yüzeyini tamamen kapatmadığı ifade edildi.
İki yapıdaki fark da burada netleşiyor: biri Windows’un sakladığı eski imzaları, diğeri Chrome’un senkronize passkey koruma mantığını hedef alıyor. Ortak nokta, saldırganın kriptografiyi çözmeden, sistemin bıraktığı izleri ve ara değerleri kullanması.
Microsoft’un Entra yol haritası ise passkey kullanımını daha da yaygınlaştırmaya hazırlanıyor. 1 Eylül 2026’dan itibaren SMS veya sesli doğrulama için etkin olan Entra ID kullanıcıları otomatik olarak passkey kullanmaya yönlendirilecek ve kayıt olmaları teşvik edilecek. Microsoft’un sağladığı SMS ve sesli iletim desteğinin ise 1 Şubat 2027’de emekliye ayrılması planlanıyor.
Dirk-jan Mollema’nın bulguları da bu tabloda üçüncü bir ayağı oluşturuyor. Bağımsız araştırmacı, zaten imzalı ve oturum açılmış bir Windows oturumunda çalışan kötü amaçlı yazılımın, Windows Hello for Business anahtarını yeniden PIN ya da biyometrik onay almadan kullanabildiğini gösterdi.
Mollema’nın araştırması, Trusted Platform Module tarafından korunan ve normalde dışarı aktarılamayan bir anahtarın, yine de o oturum içindeki yazılım tarafından kullanılabildiğini ortaya koyuyor. Bu durumda anahtar dışarı çıkarılmıyor; mevcut kullanıcı oturumundaki uygulama, kriptografik arayüzler üzerinden Windows Hello for Business anahtarını kullanıyor.
Araştırmacı, bu anahtarı Microsoft Entra ID’ye karşı FIDO2 kimlik bilgisi gibi kullandı. Ardından Entra WebAuthn challenge’ının beş dakika boyunca geçerli kaldığını ve oturuma, kullanıcıya ya da tenant’a bağlı olmadığını tespit etti. Bu yüzden saldırgan sisteminde istenen bir challenge, kurbanın makinesine taşınabiliyor, Windows Hello anahtarıyla imzalanıp geri döndürülebiliyor.
Ortaya çıkan giriş işlemi Conditional Access kurallarını karşılayabiliyor ve phishing-resistant authentication gerektiren kontrollerden geçebiliyor. Mollema ayrıca oluşan token’ın device ID iddiası içermeyebileceğini, bunun da device registration üzerinden Primary Refresh Token’a ve ek kalıcılığa giden bir yol açabileceğini söyledi.
Public olarak paylaşılan bilgiler, SpecterOps ve Mollema’nın anlattığı Entra davranışlarının aynı temel doğrulama sorunundan mı yoksa benzer sonuçlar üreten farklı kontrollerden mi kaynaklandığını kesinleştirmiyor. Araştırmalar arasındaki örtüşme gerçek; ancak bunu tek bir açık gibi anlatmak, kaynaklarda kurulandan daha geniş bir yorum olur.
Üç çalışma birlikte okunduğunda tablo netleşiyor: passkey, arkasındaki uygulama ve saklama katmanları doğru kurulmadığında tek başına tam koruma sağlamıyor. Windows’un geçmiş imzaları saklaması, Chrome’un senkronize anahtarları bellekte ve loglarda bırakması, Windows Hello for Business anahtarlarının da oturum içinden kullanılabilmesi, saldırganlara farklı yollardan yeniden kullanılabilir kimlik doğrulama malzemesi sunabiliyor.
Bu nedenle araştırmaların ilk hedefi, protokolün matematiği değil; etrafındaki işletim sistemi, tarayıcı, kimlik sağlayıcı ve oturum yönetimi davranışları oldu. Unit 42’nin saldırıları uç noktada çalışan kötü amaçlı yazılımla, Mollema’nınki ise zaten ele geçirilmiş bir kullanıcı oturumunun içinden başladı. İki çalışma da passkey’lerin, uç nokta ele geçirildikten sonra neyi engelleyip neyi engelleyemediğini gösteren somut örnekler olarak sunuldu.
Microsoft tarafında CVE-2026-34348 için yama yayımlandı. Entra ve WebAuthn akışlarını kabul eden servisler, istedikleri user verification şartını gerçekten uygulamaya zorlanmak zorunda kalıyor. Kimlik bilgisi hassasiyeti sadece şifre kasasında değil, passkey deposu, kurtarma akışları ve tarayıcı belleği gibi alanlarda da geçerli kabul ediliyor.
Microsoft’un SMS ve sesli doğrulamayı geri çekmeye hazırlanması ise passkey’leri daha geniş bir kimlik doğrulama geçişinin merkezine yerleştiriyor. Bu geçişin hızlandığı sırada ortaya çıkan üç araştırma, uygulama detaylarının küçük görünen hatalarla bile kimlik doğrulama zincirini kırılgan hale getirebildiğini ortaya koydu.