As senhas — o assassino de senhas da Microsoft, da Apple e do Google — estão finalmente aqui

Durante anos, a Big Tech insistiu que a morte da senha está chegando. Durante anos, essas garantias foram pouco mais do que promessas vazias. As alternativas de senha — como push, single-sign ons OAUTH e módulos de plataforma confiáveis ​​— introduziram tantos problemas de usabilidade e segurança quanto resolveram. Mas agora, finalmente estamos à beira de uma alternativa de senha que realmente funcionará.

A nova alternativa é conhecida como chaves de acesso. Genericamente, as senhas referem-se a vários esquemas de armazenamento de informações de autenticação em hardware, um conceito que existe há mais de uma década. O que é diferente agora é que Microsoft, Apple, Google e um consórcio de outras empresas se unificaram em torno de um único padrão de chave de acesso conduzido pela FIDO Alliance. As chaves de acesso não são apenas mais fáceis de usar para a maioria das pessoas do que as senhas; eles também são completamente resistentes a phishing de credenciais, preenchimento de credenciais e ataques semelhantes de controle de contas.

Na segunda-feira, o PayPal disse que os usuários dos EUA em breve terão a opção de fazer login usando senhas baseadas em FIDO, juntando-se ao Kayak, eBay, Best Buy, CardPointers e WordPress.com como serviços online que oferecerão a alternativa de senha. Nos últimos meses, Microsoft, Apple e Google atualizaram seus sistemas operacionais e aplicativos para habilitar senhas. O suporte à chave de acesso ainda é irregular. As chaves de acesso armazenadas no iOS ou macOS funcionarão no Windows, por exemplo, mas o inverso ainda não está disponível. Nos próximos meses, tudo isso deve ser resolvido, no entanto.

O que exatamente, são chaves de acesso?

As senhas funcionam de forma quase idêntica aos autenticadores FIDO que nos permitem usar nossos telefones, laptops, computadores e chaves de segurança Yubico ou Feitian para autenticação multifator. Assim como os autenticadores FIDO armazenados nesses dispositivos MFA, as chaves de acesso são invisíveis e integram-se ao Face ID, Windows Hello ou outros leitores biométricos oferecidos pelos fabricantes de dispositivos. Não há como recuperar os segredos criptográficos armazenados nos autenticadores a não ser desmontar fisicamente o dispositivo ou submetê-lo a um jailbreak ou ataque de root.

Mesmo que um adversário conseguisse extrair o segredo criptográfico, ele ainda teria que fornecer a impressão digital, a varredura facial ou – na ausência de recursos biométricos – o PIN associado ao token. Além disso, os tokens de hardware usam o fluxo de autenticação entre dispositivos da FIDO, ou CTAP, que depende do Bluetooth Low Energy para verificar se o dispositivo de autenticação está próximo fisicamente do dispositivo que está tentando fazer login.

Até agora, as chaves de segurança baseadas em FIDO eram usadas principalmente para fornecer MFA, abreviação de autenticação multifator, que exige que alguém apresente um fator de autenticação separado além da senha correta. Os fatores adicionais oferecidos pelo FIDO normalmente vêm na forma de algo que o usuário possui – um smartphone ou computador contendo o token de hardware – e algo que o usuário é – uma impressão digital, escaneamento facial ou outra biometria que nunca sai do dispositivo.

Até agora, os ataques contra MFA compatível com FIDO foram escassos. Uma campanha avançada de phishing de credenciais que recentemente violou a Twilio e outras empresas de segurança de primeira linha, por exemplo, falhou contra a Cloudflare por um motivo: ao contrário dos outros alvos, a Cloudflare usou tokens de hardware compatíveis com FIDO que eram imunes à técnica de phishing usada pelos invasores. Todas as vítimas que foram violadas confiaram em formas mais fracas de MFA.

Mas enquanto os tokens de hardware podem fornecer um ou mais fatores de autenticação além de uma senha, as chaves de acesso não dependem de nenhuma senha. Em vez disso, as chaves de acesso agrupam vários fatores de autenticação – normalmente o telefone ou laptop e a digitalização facial ou impressão digital do usuário – em um único pacote. As senhas são gerenciadas pelo sistema operacional do dispositivo. A critério do usuário, eles também podem ser sincronizados por meio de criptografia de ponta a ponta com outros dispositivos do usuário usando um serviço de nuvem fornecido pela Apple, Microsoft, Google ou outro provedor.

As senhas são “detectáveis”, o que significa que um dispositivo registrado pode enviar automaticamente uma através de um túnel criptografado para outro dispositivo registrado que está tentando entrar em uma das contas ou aplicativos do site do usuário. Ao fazer login, o usuário se autentica usando a mesma senha ou PIN biométrico ou no dispositivo para desbloquear o dispositivo. Esse mecanismo substitui completamente o nome de usuário e a senha tradicionais e oferece uma experiência de usuário muito mais fácil.

“Os usuários não precisam mais registrar cada dispositivo para cada serviço, o que há muito é o caso da FIDO (e de qualquer criptografia de chave pública)”, disse Andrew Shikiar, diretor executivo e diretor de marketing da FIDO. ser sincronizado com segurança em uma nuvem do sistema operacional, o usuário precisa se inscrever apenas uma vez para um serviço e, em seguida, é essencialmente pré-inscrito para esse serviço em todos os outros dispositivos. Isso traz melhor usabilidade para o usuário final e – muito significativamente – permite que o provedor de serviços comece a retirar senhas como meio de recuperação de conta e reinscrição.”

O editor da Ars Review, Ron Amadeo, resumiu bem as coisas na semana passada quando escreveu: “As chaves de acesso apenas trocam chaves criptográficas WebAuthn com o site diretamente. Não há necessidade de um humano dizer a um gerenciador de senhas para gerar, armazenar e recuperar um segredo – isso tudo acontece automaticamente, com segredos muito melhores do que a antiga caixa de texto suportava e com exclusividade imposta.”