Passkeys: Por Que as Senhas Estão com os Dias Contados (e Como Se Proteger Até Lá)
Senhas vazam, se repetem e caem em golpes de phishing. Entenda como as passkeys usam criptografia para substituir a senha, por que elas resistem a sites falsos e o que fazer hoje para proteger as suas contas.
Passkeys: Por Que as Senhas Estão com os Dias Contados (e Como Se Proteger Até Lá)
Pense em quantas senhas você tem. Banco, e-mail, redes sociais, aplicativos de transporte, lojas, jogos, a plataforma de estudos. Agora seja sincero: quantas delas são diferentes de verdade?
Para a maioria das pessoas, a resposta é "poucas". E é por isso que a senha, uma invenção dos primeiros computadores compartilhados do início dos anos 1960, virou um dos maiores pontos fracos da segurança digital. A boa notícia é que o substituto já está em uso: as passkeys, também chamadas de chaves de acesso.
Os três problemas da senha
1. A gente repete
Ninguém consegue memorizar dezenas de senhas longas e diferentes. O resultado é a mesma senha, ou pequenas variações dela, em vários sites. Quando um desses sites é invadido, criminosos testam o e-mail e a senha vazados em centenas de outros serviços, de forma automática. Esse ataque tem nome: credential stuffing, algo como "recheio de credenciais".
2. Ela vaza sem você fazer nada de errado
Mesmo quem cria senhas únicas depende de cada site guardá-las direito. Bancos de dados de grandes empresas já vazaram com milhões de senhas. O site Have I Been Pwned, mantido pelo pesquisador de segurança Troy Hunt, reúne bilhões de contas expostas em vazamentos públicos, e qualquer pessoa pode consultar se o próprio e-mail aparece ali.
3. Ela pode ser entregue ao golpista
O phishing é o golpe em que alguém cria uma página falsa, idêntica à do banco ou da rede social, e convence a vítima a digitar a senha ali. Não importa quão forte seja a senha: digitada no site errado, ela foi entregue. E as páginas falsas estão cada vez mais convincentes.
O que é uma passkey
Uma passkey troca a senha por um par de chaves criptográficas, criado pelo seu próprio aparelho no momento em que você ativa a passkey num site:
- A chave privada fica guardada no seu celular, no computador ou no gerenciador de senhas, e nunca é enviada a lugar nenhum.
- A chave pública fica com o site. Ela não é segredo: sozinha, não serve para entrar na sua conta.
Na hora do login, o site envia um desafio, uma espécie de pergunta aleatória. Seu aparelho responde assinando esse desafio com a chave privada, e o site confere a assinatura usando a chave pública. Se bater, você entra.
Para autorizar a assinatura, o aparelho pede o desbloqueio de sempre: impressão digital, reconhecimento facial ou o PIN da tela. Um detalhe importante: sua digital e seu rosto não são enviados ao site. A biometria só destrava a chave dentro do próprio aparelho.
Por que passkeys resistem a golpes
Repare no que deixa de existir:
- Não há segredo para digitar. Então não há o que entregar numa página falsa.
- A passkey é amarrada ao endereço do site. Ela foi criada para o domínio verdadeiro, e o navegador simplesmente não a oferece num endereço diferente, por mais parecida que a página seja.
- O site não guarda nada que sirva ao invasor. Se o banco de dados vazar, o criminoso leva chaves públicas, que não abrem conta nenhuma.
- Não dá para reaproveitar. Cada site recebe um par de chaves próprio.
Por isso as passkeys são consideradas resistentes a phishing, algo que nem a senha mais forte do mundo consegue ser.
Quem está por trás
As passkeys seguem padrões abertos criados pela FIDO Alliance, um consórcio de empresas de tecnologia, e pelo W3C, a organização que define os padrões da web; o padrão da web se chama WebAuthn. Em 2022, Apple, Google e Microsoft anunciaram juntas o compromisso de adotar passkeys em seus sistemas.
Hoje, passkeys funcionam nas versões recentes de Android, iOS, Windows e macOS e nos principais navegadores. Elas podem ser sincronizadas entre os seus aparelhos pela conta do Google, pelas Chaves do iCloud ou por gerenciadores de senhas. Isso responde a uma dúvida comum: se você perder o celular, não perde as passkeys, desde que elas estejam sincronizadas e a sua conta principal esteja bem protegida.
E enquanto a senha não morre?
A transição vai levar anos, e muitos sites ainda só aceitam senha. Até lá, quatro hábitos fazem enorme diferença:
- Use um gerenciador de senhas. Ele cria e lembra senhas longas e diferentes para cada site, e você só precisa memorizar uma, bem forte. Os navegadores modernos já trazem um gerenciador embutido.
- Ative a verificação em duas etapas, de preferência por aplicativo autenticador em vez de SMS, que pode ser desviado em golpes de troca de chip.
- Ative passkeys onde houver a opção. Procure nas configurações de segurança da conta por "chave de acesso" ou "passkey".
- Desconfie de urgência. Mensagem dizendo que a sua conta será bloqueada em uma hora é o formato clássico de phishing. Na dúvida, abra o aplicativo ou digite você mesmo o endereço do site, em vez de clicar no link.
Segurança digital também é tema de cidadania
Vazamentos de dados e golpes digitais não são só um problema técnico: afetam a vida financeira, a privacidade e até a saúde mental das pessoas, e por isso aparecem em debates públicos e em temas de redação. Para olhar o assunto por esse ângulo, leia a nossa análise sobre segurança de dados e crimes cibernéticos.
E se o que despertou a sua curiosidade foi a lógica por trás dos sistemas, o curso gratuito de Lógica de Programação do zero é um bom primeiro passo.