Você provavelmente já passou por isso: tentou entrar em uma conta, não lembrou a senha, pediu um código por e-mail, criou outra senha e, algum tempo depois, esqueceu novamente.
Durante décadas, praticamente toda a internet foi construída em torno de senhas. O problema é que elas dependem de algo que seres humanos não fazem particularmente bem: criar, guardar e não reutilizar dezenas ou centenas de combinações diferentes.
Os desafios do uso de senhas
O grande problema das senhas são seus vazamentos e complexidade. Para “não esquecer”, muitas pessoas reutilizam a mesma senha em diferentes sites, criam combinações fracas para memorizar, ou são expostas em grandes ataques aos servidores de empresas.
Outro ponto importante é a definição de “senha fraca”. Em um cofre físico com 5 dígitos de 0 até 9, descobrir o segredo envolve testar as 100.000 combinações diferentes, algo de levaria muito tempo para um ser humano. Já nos equipamentos eletrônicos, o tempo para “quebrar essa senha” seria de segundos. Ou seja, o que aparenta ser uma tarefa difícil para nós, é extremamente fácil para computadores.
Esse é o motivo pelo qual quase todos os sites recomendam a criação de senhas com, pelo menos, 8 algarismos que combinem números, letras e caracteres especiais. O objetivo é aumentar a quantidade de possibilidades e dificultar softwares maliciosos descobrirem suas credenciais.
*Imagem de tempo para hackear uma senha
Uma solução para acumular tantas senhas diferentes é possuir um gerenciador de senhas. Ele pode ser físico, como uma caderneta, ou um app, como ProtonPass e BitWarden.
Os aplicativos gerenciadores de senhas possuem diversas funcionalidades importantes para aumentar a segurança, como geração e conferência da complexidade, monitoramento de vazamentos e armazenamento de credenciais. Porém, apesar de práticos e muito mais seguros do que reutilizar combinações, eles não eliminam uma característica fundamental desse método de autenticação: o site ainda precisa verificar uma senha ou uma representação criptográfica dela.
Dessa forma, existe uma alternativa ainda mais segura e prática: as Passkeys.
O que é uma passkey e como funciona?
Uma passkey, ou chave de acesso, é uma credencial digital utilizada para provar que você é o proprietário de uma conta. Em vez de digitar uma senha, seu acesso é credenciado por chave única que permite a autenticação.
O funcionamento é da seguinte forma: quando uma passkey é criada, o dispositivo gera um par de chaves criptográficas. Uma é a chave pública, que fica armazenada nos servidores do site. A outra é a chave privada, que fica somente com você.
Ao fazer login, o servidor envia um desafio ao dispositivo. A chave privada é utilizada para criar uma assinatura digital relacionada a esse desafio, e o servidor utiliza a chave pública para verificar a correspondência. Caso positivo, a autenticidade do login foi comprovada.
Em uma analogia simplificada, imagine aqueles colares de coração partido, em que cada parte fica com uma pessoa. Para abrir a porta, um colar fica exposto pendurado na entrada e o outro está com você. Ao juntá-los e encaixá-los na fechadura, a porta abre e você guarda novamente sua parte. Assim, a autenticação é rápida e segura.
Por que existe uma chave “pública”?
Como chave pública é apenas uma parte da descriptografia, ela pode ficar armazenada no servidor porque não permite criar as assinaturas digitais que somente a chave privada correspondente consegue produzir. Essa é uma grande diferença em relação às senhas, pois, mesmo que alguém consiga roubar a chave pública durante uma invasão ao serviço, ela sozinha não gera uma autenticação válida.
Com senhas, um banco de dados comprometido pode conter informações que, dependendo de como foram armazenadas, permitem invasores descobrirem fracas combinações. Além disso, senhas obtidas em outros vazamentos podem ser reutilizadas automaticamente contra diferentes serviços. Com passkeys, a chave pública armazenada pelo site não possui essa mesma capacidade de autenticação, reduzindo bastante o valor desse tipo de vazamento para o atacante.
A resistência contra phishing
Phishing é um tipo de ataque em que e-mails, SMS, ligações de celular, dentre outros, tentam “pescar” seus dados pessoais e uma prática muito comum é a clonagem de sites.
Imagine receber um e-mail falso dizendo que sua conta do Google precisa ser verificada e o link leva para algo como: www.conta-google-seguranca.exemplo.com. Visualmente, a página é idêntica à verdadeira e, no campo de senha, você digita suas credenciais, entregando ao invasor o que ele precisava para roubar seus dados. Já na passkey, o funcionamento é diferente.
A credencial vincula ao serviço para o qual foi criada, limitando os locais onde pode ser utilizada. Portanto, uma passkey criada para o Google, por exemplo, não pode simplesmente ser solicitada por outro domínio parecido. O navegador e o sistema de autenticação verificam para qual serviço aquela credencial foi criada antes de utilizá-la.
Por isso chaves de acesso são consideradas resistentes a phishing, enquanto senhas, SMS e até códigos de aplicativos autenticadores podem ser capturados.
Onde as chaves de acesso ficam armazenadas?
Existem, de maneira geral, passkeys sincronizadas e passkeys vinculadas a um dispositivo. Nas sincronizadas, o material criptográfico pode ser protegido e sincronizado por um gerenciador de credencial, permitindo que ela fique disponível em outros aparelhos do usuário.
Já nas vinculadas ao dispositivo, a chave permanece naquele autenticador específico. Uma chave de segurança física compatível com FIDO, por exemplo, pode guardar a credencial sem permitir que ela seja exportada.
Quadro 01 – Diferenças entre Senha e Passkey
| Senha | Passkey (Chave de acesso) | |
|---|---|---|
| Usuário precisa memorizar | Depende | Não |
| Pode ser reutilizada em vários sites | Sim | Cada credencial é específica |
| Pode ser digitada em site falso | Sim | Projetada para impedir isso |
| Segredo precisa ser verificado pelo servidor | Sim | Servidor guarda chave pública |
| Pode utilizar biometria ou PIN | Apenas como etapa adicional | Sim, para liberar a credencial |
| Pode funcionar sem senha | Não | Sim |
| Pode ser sincronizada entre dispositivos | Com gerenciador | Dependendo do provedor |
Então passkeys são impossíveis de hackear?
Sim e não. Em segurança digital, não existe uma “bala de prata”, onde uma tecnologia acaba com vulnerabilidades. O computador já comprometido, por exemplo, pode permitir outras formas de ataque, como clonagem de cookies de sessão do navegador e, dessa forma, assumir a conta de um gerenciador de senhas para sincronizar as passkeys. Sistemas de recuperação de conta também podem ser uma vulnerabilidade ou até mesmo alguém roubar sua chave física que armazena as chaves de acesso.
Portanto, o importante não é somente o modo de autenticação, mas o conhecimento das vulnerabilidades e seus planos de contingência para proteger tais brechas. Boas formas para isso são: não expor às pessoas o lugar onde guarda sua chave física; não navegar em sites suspeitos e baixar arquivos duvidosos; manter sempre o cofre do gerenciador de senhas bloqueado e evitar manter cookies de muitos sites logados. Essas medidas ajudam a mitigar o risco de invasão.
As passkeys vão realmente substituir as senhas?
Tecnologicamente, elas resolvem vários dos principais defeitos das senhas. Não exigem que o usuário crie e memorize uma grande quantidade de combinações, não entregam ao site uma chave privada capaz de autenticar o usuário e são vinculadas ao serviço para o qual foram criadas. Por isso, oferecem resistência a formas de phishing atuais.
O grande problema é a adaptação. Como as pessoas já se acostumaram a utilizar senhas, introduzir essa mudança exige que os usuários entendam uma nova forma de fazer login. Ao mesmo tempo, as empresas precisam implementar a tecnologia, adaptar seus sistemas e oferecer métodos seguros de recuperação de conta. Durante esse período de transição, senhas e passkeys continuarão coexistindo.
Portanto, vale muito a pena já começar a utilizar as chaves de acesso. Sempre que um serviço oferecer uma implementação adequada, ativar esse modo de autenticação aumenta significativamente a proteção da conta e facilidade de uso.
