Revisado em por Roberto Lima
Neste artigo
O Problema das Senhas
Senhas são a forma de autenticação mais antiga e mais problematica da era digital. Usuários escolhem senhas fracas, reutilizam entre sites, caem em phishing, e empresas sofrem breaches massivos de credenciais. MFA ajuda, mas ainda depende de senha como primeiro fator.
Senhas vs Passwordless
Senhas
- Podem ser adivinhadas/forcadas
- Podem ser roubadas via phishing
- Podem vazar em breaches
- Usuários reutilizam
- Fricao na UX
Passwordless
- Nada para adivinhar
- Resistente a phishing
- Não ha segredo compartilhado
- Única por site
- UX superior (biometria)
FIDO2 e WebAuthn
FIDO2 e o padrão da FIDO Alliance que habilita autenticação forte sem senhas. E composto por dois protocolos:
- WebAuthn: API JavaScript padronizada pelo W3C para navegadores
- CTAP2: Protocolo de comunicação com autenticadores (USB, NFC, Bluetooth)
Criptografia de chave publica
FIDO2 usa criptografia assimetrica. Durante o registro, o autenticador gera um par de chaves:
- Chave privada: Fica no dispositivo, nunca sai
- Chave publica: Enviada ao servidor/site
Durante login, o servidor envia um challenge. O autenticador assina com a chave privada. O servidor verifica com a chave publica. Nenhum segredo e transmitido - impossível interceptar ou roubar credencial.
Origin binding
Credenciais FIDO2 são vinculadas ao domínio (origin) exato. Uma credencial criada para banco.com.br não funciona em banc0.com.br. O navegador verifica automaticamente, tornando phishing impossível por design.
O que são Passkeys
Passkeys são a evolução das credenciais FIDO2 com uma diferença crucial: são sincronizaveis entre dispositivos. Lancadas em 2022 por Apple, Google e Microsoft em conjunto.
Passkeys vs Security Keys tradicionais
- Security Key (YubiKey): Credencial presa ao dispositivo físico
- Passkey: Credencial sincronizada via iCloud/Google, disponível em todos os dispositivos do usuário
Passkeys resolvem o problema de "perdi minha YubiKey" sem sacrificar segurança significativamente.
Onde passkeys ficam armazenadas
- Apple: iCloud Keychain (sincroniza entre iPhone, iPad, Mac)
- Google: Google Password Manager (sincroniza entre Android e Chrome)
- Microsoft: Windows Hello / Microsoft Authenticator
- Password managers: 1Password, Dashlane, Bitwarden suportam passkeys
Como Funciona Tecnicamente
Registro (criação de passkey)
- Usuário clica "Criar passkey" no site
- Site chama WebAuthn API com parametros (domínio, user ID, etc.)
- Navegador solicita autenticação local (Face ID, Touch ID, PIN)
- Autenticador gera par de chaves e armazena chave privada
- Chave publica e enviada ao servidor e associada a conta
Login (uso de passkey)
- Usuário clica "Login com passkey"
- Site envia challenge aleatorio via WebAuthn
- Navegador solicita autenticação local
- Autenticador assina challenge com chave privada
- Assinatura enviada ao servidor
- Servidor verifica assinatura com chave publica armazenada
- Login concedido
UX na prática
Para o usuário, e simplesmente: clique em "Login" > olhe para o celular (Face ID) ou toque no sensor (Touch ID). Login instantaneo, sem digitar nada.
Métodos Passwordless
Biometria no dispositivo
Face ID, Touch ID, Windows Hello. Chave privada protegida por biometria local. Mais conveniente para usuários.
Security Keys (YubiKey)
Hardware dedicado USB/NFC. Máximo nível de segurança. Ideal para contas críticas e admins.
Phone as authenticator
Celular como segundo dispositivo via Bluetooth/QR code. Útil quando dispositivo principal não tem biometria.
Passkeys sincronizadas
Credenciais FIDO2 em nuvem. Conveniência de senhas, segurança de FIDO2. Padrão emergente.
Implementação para Empresas
Para aplicações web (desenvolvedores)
- WebAuthn API: Nativa em todos browsers modernos
- Bibliotecas: SimpleWebAuthn, webauthn4j, py_webauthn
- Serviços: Auth0, Okta, Duo oferecem passkeys como feature
Para workforce (IT/Security)
- Azure AD/Entra ID: Suporte nativo a FIDO2 e Windows Hello
- Okta: FastPass passwordless
- Google Workspace: Passkeys para contas Google
- Duo: Passwordless com biometria e security keys
Estratégia de rollout
- Piloto: Começar com grupo de early adopters e admins
- Paralelo: Oferecer passwordless como opção, manter senha como fallback
- Incentivo: Promover adoção com comunicação e treinamento
- Mandatorio: Para contas privilegiadas, exigir FIDO2
- Deprecacao: Gradualmente remover opção de senha
Recovery e fallback
Sempre tenha mecanismo de recovery. Se usuário perde todos os dispositivos com passkeys, precisa de alternativa (email de recuperação, código backup, suporte humano). Passwordless não significa "sem opção de recuperação".
Perguntas Frequentes
A autenticação local (biometria) funciona offline. Mas o login em si requer conexão com o servidor para enviar a assinatura. Security keys físicas podem funcionar em cenários air-gapped dependendo da aplicação.
Com passkeys sincronizadas, sim - estão em todos os dispositivos do mesmo ecossistema (Apple/Google). Cross-platform (usar iPhone para logar no Windows) funciona via QR code + Bluetooth, onde o celular atua como autenticador remoto.
Biometria em FIDO2 e verificação local apenas - não e transmitida. O servidor nunca ve sua digital ou face, apenas a assinatura criptográfica. Mesmo que alguém tenha sua digital, precisaria do seu dispositivo físico. E muito mais seguro que senhas.
Conclusão
Passwordless não e mais futuro - e presente. Apple, Google e Microsoft adotaram passkeys. Grandes sites (Google, GitHub, eBay, Kayak) já suportam. A transição esta acontecendo.
Para organizações, o momento de planejar e agora. Comece habilitando FIDO2/passkeys como opção para usuários que querem. Exija para contas privilegiadas. Gradualmente expanda até poder deprecar senhas completamente.
Os benefícios são claros: eliminação de phishing de credenciais, fim de breaches de senhas, melhor experiência do usuário. O custo e principalmente mudança de processo e comunicação - a tecnologia esta madura e disponível.
Precisa de Ajuda com Passwordless?
Oferecemos consultoria de implementação de autenticação passwordless, FIDO2 e estratégia de transição.
Falar com Especialista
