Introdução
As chaves de acesso são mais seguras e fáceis de usar do que as senhas. Com as chaves de acesso, os usuários podem fazer login em apps e sites com um sensor biométrico (como impressão digital ou reconhecimento facial), PIN ou padrão, sem precisar lembrar e gerenciar senhas.
Desenvolvedores e usuários odeiam senhas: eles oferecem uma experiência ruim para os usuários, adicionam atrito nas conversões e criam responsabilidade pela segurança para usuários e desenvolvedores. O Gerenciador de senhas do Google no Android e no Chrome reduz o atrito com o preenchimento automático. Para desenvolvedores que buscam ainda mais melhorias na conversão e segurança, as chaves de acesso e a federação de identidade são as abordagens modernas do setor.
Uma chave de acesso pode atender aos requisitos de autenticação multifator em uma única etapa, substituindo uma senha e uma OTP (por exemplo, um código SMS de seis dígitos) para oferecer proteção robusta contra ataques de phishing e evitar o problema de UX de SMS ou senhas únicas de app. Como as chaves de acesso são padronizadas, uma única implementação permite uma experiência sem senha em todos os dispositivos do usuário, em diferentes navegadores e sistemas operacionais.
Chaves de acesso são mais fáceis:
- Os usuários podem selecionar uma conta para fazer login. Não é necessário digitar o nome de usuário.
- Os usuários podem fazer a autenticação usando o bloqueio de tela do dispositivo, como um sensor de impressão digital, reconhecimento facial ou PIN.
- Depois que uma chave de acesso é criada e registrada, o usuário pode trocar facilmente para um novo dispositivo e usá-lo imediatamente sem precisar fazer um novo registro (ao contrário da autenticação biométrica tradicional, que requer a configuração em cada dispositivo).
Chaves de acesso são mais seguras:
- Os desenvolvedores salvam apenas uma chave pública no servidor, em vez de uma senha. Isso significa que o usuário de má-fé pode invadir os servidores e muito menos fazer limpeza em caso de violação.
- As chaves de acesso protegem os usuários contra ataques de phishing. As chaves de acesso funcionam apenas nos sites e apps registrados. Um usuário não pode ser induzido a fazer a autenticação em um site enganoso porque o navegador ou o SO processa a verificação.
- As chaves de acesso reduzem os custos de envio de SMS, tornando-as uma forma mais segura e econômica de usar a autenticação de dois fatores.
O que são chaves de acesso?
Uma chave de acesso é uma credencial digital vinculada a uma conta de usuário e um site ou aplicativo. As chaves de acesso permitem que os usuários façam a autenticação sem precisar inserir um nome de usuário ou senha nem fornecer outro fator de autenticação. Essa tecnologia tem como objetivo substituir mecanismos de autenticação legados, como senhas.
Quando um usuário quiser fazer login em um serviço que usa chaves de acesso, o navegador ou sistema operacional vai ajudar a selecionar e usar a chave de acesso correta. A experiência é parecida com o funcionamento atual das senhas salvas. Para garantir que apenas o proprietário de direito possa usar uma chave de acesso, o sistema vai pedir para ele desbloquear o dispositivo. Isso pode ser realizado com um sensor biométrico (como impressão digital ou reconhecimento facial), um PIN ou um padrão.
Para criar uma chave de acesso para um site ou app, primeiro o usuário precisa se registrar nele.
- Acesse o aplicativo e faça login usando o método atual.
- Clique no botão Criar uma chave de acesso.
- Verifique as informações armazenadas com a nova chave de acesso.
- Use o desbloqueio de tela do dispositivo para criar a chave de acesso.
Quando o usuário voltar a esse site ou app para fazer login, ele poderá seguir estas etapas:
- Acesse o aplicativo.
- Toque no campo do nome da conta para mostrar uma lista de chaves de acesso em uma caixa de diálogo de preenchimento automático.
- Selecionar a chave de acesso.
- Use o desbloqueio de tela do dispositivo para concluir o login.
O dispositivo do usuário gera uma assinatura com base na chave de acesso. Essa assinatura é usada para verificar a credencial de login entre a origem e a chave de acesso.
Um usuário pode fazer login em serviços em qualquer dispositivo usando uma chave de acesso, não importa onde ela esteja armazenada. Por exemplo, uma chave de acesso criada em um smartphone pode ser usada para fazer login em um site em outro laptop.
Como as chaves de acesso funcionam?
As chaves de acesso são destinadas ao uso na infraestrutura do sistema operacional que permite que os gerenciadores de chaves de acesso criem, façam backup e disponibilizem chaves de acesso para os aplicativos em execução nesse sistema operacional. No Android, as chaves de acesso podem ser armazenadas no Gerenciador de senhas do Google, que sincroniza as chaves de acesso entre os dispositivos Android do usuário que estão conectados à mesma Conta do Google. As chaves de acesso são criptografadas com segurança no dispositivo antes de serem sincronizadas e exigem a descriptografia delas em novos dispositivos. Os usuários com o SO Android 14 ou mais recente podem armazenar as chaves de acesso em um gerenciador de senhas de terceiros compatível.
Os usuários não estão restritos a usar as chaves de acesso apenas no dispositivo em que elas estão disponíveis. As chaves de acesso disponíveis em smartphones podem ser usadas ao fazer login em um laptop, mesmo que a chave de acesso não esteja sincronizada com o laptop, desde que o smartphone esteja perto do laptop e o usuário aprove o login. Como as chaves de acesso são criadas com base nos padrões FIDO (em inglês), todos os navegadores podem adotá-las.
Por exemplo, um usuário acessa example.com no navegador Chrome da máquina Windows. Esse usuário já fez login em example.com no dispositivo
Android e gerou uma chave de acesso. Na máquina Windows, o usuário escolhe fazer login
com uma chave de acesso de outro dispositivo. Os dois dispositivos serão conectados, e o usuário
vai precisar aprovar o uso da chave de acesso no dispositivo Android, por
exemplo, com um sensor de impressão digital. Depois disso, o usuário estará conectado na
máquina Windows. A chave de acesso não é transferida para a máquina
Windows. Normalmente, example.com oferece a opção de criar uma nova chave de acesso.
Dessa forma, não vai ser necessário ter o smartphone na próxima vez que o usuário fizer login. Leia
Fazer login com um smartphone para
saber mais.
Quem está usando chaves de acesso?
Vários serviços já estão usando chaves de acesso nos sistemas deles.
- DocuSign
- Caiaque
- Mercari
- NTT Docomo
- PayPal
- Shopify
- A autenticação sem senha do Yahoo! Japão
Sua vez de tentar
Teste as chaves de acesso nesta demonstração: https://passkeys-demo.appspot.com/
Considerações sobre privacidade
- Porque o login com biometria pode dar aos usuários uma falsa impressão de que isso está enviando informações sensíveis para o servidor. Na realidade, o material biométrico nunca sai do dispositivo pessoal do usuário.
- As chaves de acesso não permitem rastrear usuários ou dispositivos entre sites. A mesma chave de acesso nunca é usada em mais de um site. Os protocolos da chave de acesso são projetados com cuidado para que nenhuma informação compartilhada com sites possa ser usada como um vetor de rastreamento.
- Os gerenciadores de chaves de acesso protegem as chaves de acesso contra acesso e uso não autorizados. Por exemplo, o Gerenciador de senhas do Google criptografa as chaves secretas da chave de acesso de ponta a ponta. Apenas o usuário pode acessá-las e usá-las. Elas são armazenadas em backup nos servidores do Google, mas não podem ser usadas para falsificar a identidade de usuários.
Considerações sobre segurança
- As chaves de acesso usam a criptografia de chave pública. A criptografia de chave pública reduz a ameaça de possíveis violações de dados. Quando um usuário cria uma chave de acesso em um site ou app, um par de chaves pública/privada é gerado no dispositivo dele. Somente a chave pública é armazenada pelo site, mas isso por si só é inútil para um invasor. Um invasor não pode extrair a chave privada do usuário dos dados armazenados no servidor, o que é necessário para concluir a autenticação.
- Como as chaves de acesso estão vinculadas à identidade de um site ou app, elas estão protegidas contra ataques de phishing. O navegador e o sistema operacional garantem que uma chave de acesso só possa ser usada com o site ou app que a criou. Assim, os usuários não precisam ser responsáveis por fazer login no site ou app original.
Receber notificações
Inscreva-se na newsletter para desenvolvedores de chaves de acesso do Google para receber notificações sobre atualizações de chaves de acesso.