Passkey: o login sem senha e onde já dá para usar

O que é uma passkey

Uma passkey é um par de chaves que o seu aparelho cria no momento em que você se cadastra num site. A chave privada fica no aparelho, ou num cofre criptografado que sincroniza entre os seus aparelhos. A chave pública vai para o site, e sozinha ela não serve para nada.

Na hora de entrar, o site manda um desafio, o seu aparelho libera a chave privada depois do seu rosto, da sua digital ou da senha da tela, e assina o desafio. A Apple descreve o ponto central em uma frase: o servidor nunca descobre qual é a chave privada.

A parte biométrica confunde bastante gente, então vale ser exato: a sua digital e o seu rosto não são enviados para lugar nenhum e não são a passkey. Eles funcionam só como a tranca local que libera a chave que já estava no aparelho. Quem prefere não usar biometria consegue o mesmo resultado com a senha ou o PIN da tela de bloqueio.

A tecnologia por baixo é um padrão aberto, o WebAuthn, mantido junto com a FIDO Alliance, e é por isso que a mesma ideia aparece em fabricantes diferentes. O Google documenta as chaves de acesso da Conta do Google com essa mesma descrição, e o nome em português é o mesmo nos dois: chave de acesso.

Por que a página falsa não consegue usar a sua chave

O golpe de página falsa funciona porque senha é um segredo que dá para convencer alguém a repetir. A passkey tira do caminho a coisa que poderia ser repetida, e amarra a credencial ao endereço verdadeiro do site.

São duas propriedades trabalhando juntas. A chave privada não sai do aparelho, então não existe segredo para entregar, nem que você queira entregar. E o navegador só oferece a chave de acesso para o endereço exato em que ela foi cadastrada, então uma cópia muito bem feita num endereço parecido simplesmente não recebe oferta nenhuma.

A segunda propriedade é a que as pessoas subestimam. Com senha ou com código digitado, a defesa depende de você reparar no endereço errado no pior momento possível, com pressa, numa tela pequena. Com chave de acesso, a defesa não depende de você reparar em nada. O Google coloca assim na documentação: ao contrário das senhas, chaves de acesso não podem ser compartilhadas, copiadas, escritas ou entregues sem querer a outra pessoa.

O que a passkey não faz é proteger o resto da conta. Quem alcançar a sua conta pela recuperação de senha, por um atendimento ou por um código antigo que chega por mensagem não precisa vencer a chave de acesso. Esse é o limite honesto de toda a ideia, e é o motivo de a seção sobre perder o aparelho ser a maior deste artigo.

Chave de acesso e senha, lado a lado

A chave de acesso ganha nos ataques que causam a maior parte das contas invadidas. A senha ainda ganha em universalidade e em funcionar em qualquer lugar, inclusive num computador emprestado na recepção de um hotel.

Repetição. A mesma senha acaba em vários sites, e aí um vazamento se espalha. Cada chave de acesso serve a um site só, por construção.

Vazamento. Uma base de senhas roubada é útil para o golpista no mesmo dia. Uma lista de chaves públicas não é.

Página falsa. Senha dá para digitar numa cópia. Chave de acesso não é oferecida no endereço errado.

Onde funciona. Senha funciona em tudo. Chave de acesso funciona onde o serviço já aceita, o que hoje inclui as contas Google, Apple e Microsoft, o WhatsApp e parte dos bancos e das redes sociais, mas está longe de ser tudo.

Emprestar. Senha é fácil de passar adiante, o que é prático e quase sempre uma má ideia. Chave de acesso é difícil de dividir, o que é mais seguro e às vezes irritante numa conta de família.

Voltar. Senha esquecida se redefine por e-mail. Chave de acesso perdida depende da conta do sistema, do gerenciador de senhas ou de um caminho de reserva que você preparou antes.

O que acontece se você perder o celular

Na configuração normal, perder o celular não significa perder a chave de acesso, porque ela é sincronizada e criptografada em vez de ficar presa a um aparelho só. Se isso vale para você depende de uma escolha feita na hora de criar a chave, então vale saber qual das duas você tem.

Chave sincronizada

É o padrão no celular e nos gerenciadores de senha. Ela fica num chaveiro ou cofre criptografado que sincroniza com os seus outros aparelhos e volta quando você entra na conta do sistema num aparelho novo. A Apple descreve as Chaves do iCloud como criptografadas de ponta a ponta, com chaves que a própria Apple não conhece, e diz que elas são recuperáveis mesmo se a pessoa perder todos os aparelhos, com um número limitado de tentativas antes de o registro ser destruído. O Google descreve o mesmo caminho de volta para as chaves salvas na Conta do Google, e explica como apagar a chave do aparelho perdido pelas configurações de segurança da conta.

Chave presa ao aparelho

Vive numa peça de hardware só, tipicamente uma chave de segurança física, e não pode ser copiada de lá. É a opção mais forte e a menos tolerante: se a chave some, ela some. Quem usa esse formato deveria ter duas e cadastrar as duas.

O que realmente tranca as pessoas do lado de fora não é nenhuma das duas. É perder o acesso à conta que sincroniza as chaves, o que quase sempre quer dizer perder a senha e a segunda etapa da conta Google, Apple ou Microsoft. Essa conta virou a chave de tudo, e merece a proteção mais forte que você tiver. Se o aparelho foi roubado ou furtado, o roteiro imediato está em como bloquear um celular roubado.

Onde já dá para usar, e como criar a primeira

Vale começar por onde você já tem conta e onde a instrução oficial existe. O WhatsApp é um bom lugar no Brasil, porque é a conta que mais interessa ao golpista e porque a chave de acesso dispensa o código por mensagem no login.

O WhatsApp documenta o caminho em português. No Android, é preciso ter Android 9 ou posterior, bloqueio de tela ativado e um gerenciador de senhas configurado no aparelho; depois, toque no ícone de três pontos, Configurações, Conta, Chaves de acesso, Criar chave de acesso e Continuar. No iPhone, é preciso ter iPhone 8 ou posterior com iOS 16 ou posterior; toque em Configurações ou na aba do perfil, depois Conta, Chaves de acesso e Continuar. Para apagar, o caminho é o mesmo, terminando em Apagar.

Na Conta do Google, o caminho documentado é a área de opções de login da conta, onde aparece a opção de criar uma chave de acesso, e ela também pode ser criada numa chave de segurança física compatível. Na Conta Apple, as chaves de acesso ficam nas Chaves do iCloud e exigem que a conta tenha autenticação de dois fatores ligada: quem tenta criar uma chave sem isso é levado a configurar a segunda etapa antes.

Uma observação que economiza tempo: a chave de acesso não substitui o gerenciador de senhas tão cedo. Os dois convivem por anos, e vários gerenciadores hoje guardam chaves de acesso junto com as senhas. Se você ainda não usa um, comece por como escolher um gerenciador de senhas.

Como começar sem se trancar do lado de fora

A regra é simples: sempre deixe uma segunda forma de entrar, e não comece pela conta que redefine todas as outras.

1. Deixe a conta do sistema firme antes. A conta Google, Apple ou Microsoft que vai guardar as chaves precisa de senha forte e única e de uma segunda etapa, porque ela vira o caminho de volta de tudo.
2. Escolha uma conta de pouco risco para aprender. Uma loja, um fórum. Não o banco e não o e-mail.
3. Crie a chave nas configurações da conta, normalmente em segurança, login ou senhas.
4. Cadastre uma segunda chave em outro aparelho onde o site permitir, ou deixe uma chave de segurança física de reserva.
5. Guarde os códigos de reserva da conta fora do aparelho, junto com os seus documentos.
6. Saia e entre de novo com a chave antes de confiar nela. Faça isso enquanto a senha antiga ainda funciona.
7. Só então pense em remover a senha, e só em sites que deixem claro qual é o caminho de recuperação que sobra.
8. Deixe o e-mail principal por último, quando o resto já virou rotina.

Onde a chave de acesso ainda trava

A tecnologia está resolvida. O que incomoda é prático, e aparece em situações comuns, não exóticas.

• Nem todo site aceita, então você vai manter um gerenciador de senhas ao lado por anos. Isso é normal, não é falha.
• Entrar no computador de outra pessoa é mais chato: o caminho usual é ler um código na tela com o celular que guarda a chave, o que funciona, mas é mais lento que digitar uma senha, e alguns sites ainda não oferecem.
• Conta compartilhada em casa combina mal com chave de acesso. Um serviço de streaming usado por quatro pessoas é mais fácil com uma senha numa pasta compartilhada do gerenciador.
• Trocar de sistema melhorou, mas não é transparente. Chave guardada no chaveiro de uma empresa nem sempre viaja para outra, e é por isso que algumas pessoas preferem guardar as chaves num gerenciador que funciona nos dois lados.
• Conta de trabalho segue a regra do empregador, não a sua, e pode exigir chave física.
• A tranca da tela passa a carregar peso. Um celular com PIN de quatro dígitos e sem bloqueio automático é uma tranca mais fraca do que a chave que está atrás dela.

Você ainda precisa da verificação em duas etapas?

Uma chave de acesso já junta dois fatores num passo só: algo que você tem, que é o aparelho com a chave privada, e algo que você é ou sabe, que é a biometria ou a senha da tela que libera ela. Num site onde a chave é a única forma de entrar, uma segunda etapa separada acrescenta pouco.

Só que quase nenhuma conta está nesse ponto. Enquanto a senha continuar funcionando na conta, a segunda etapa continua protegendo essa senha, então deixe ligada. A comparação entre os métodos está em verificação em duas etapas.

O que vale tirar cedo é a recuperação por mensagem de texto nas contas que guardam dinheiro ou documento, porque um número de telefone pode ser tomado no golpe do chip clonado. Troque por aplicativo autenticador ou chave de segurança antes de passar a depender de chave de acesso para algo importante.

E vale lembrar do que continua igual depois da mudança: as mensagens não vão sumir, vão trocar de alvo. Em vez de pedir a sua senha, elas vão pedir que você aprove alguma coisa, redefina alguma coisa ou ligue para um número. A chave de acesso protege o login. Ela não protege uma decisão. Para essa parte, continua valendo o que está em como saber se é golpe.

Perguntas frequentes