Le login avec la clé secrète WebAuthn présente un risque de contournement. Des extensions malveillantes ou des XSS peuvent intercepter l'API.

Le 22 septembre, un responsable de la sécurité de l'information d'une entreprise de sécurité de l'information a déclaré sur une plateforme sociale que le système de surveillance a détecté un risque de contournement pour la connexion avec la clé WebAuthn standard bien connue. Les chercheurs ont découvert un nouvel attaquant capable de contourner la connexion basée sur la clé WebAuthn. L'attaquant peut utiliser une extension de navigateur malveillante ou exploiter une vulnérabilité XSS sur un site web pour détourner l'API WebAuthn, forçant ainsi une rétrogradation vers une connexion par mot de passe et altérant le processus d'enregistrement de la clé pour voler des identifiants.

Cette attaque ne nécessite pas d'accès à l'appareil ou à Face ID, la victime se connecte avec sa clé secrète sur un site web contenant une extension malveillante ou une vulnérabilité d'injection, ce qui peut entraîner une usurpation d'identité et la compromission du compte.