As palavras-passe continuam a ser um dos pontos fracos mais persistentes na cibersegurança. As passkeys, ou chaves de acesso, são apresentadas como uma resposta a este problema, mas segundo uma análise publicada pela SecurityWeek, não são suficientes para resolver a questão mais ampla da confiança atribuída a uma identidade.
Uma proteção mais sólida do que as palavras-passe
As passkeys baseiam-se na criptografia de chave pública, que substitui os segredos partilhados por identificadores criptográficos. Assim, deixa de existir uma palavra-passe que um atacante possa roubar, intercetar através de phishing ou reutilizar noutro serviço. Quando implementadas corretamente, também resistem ao phishing, porque a autenticação está ligada ao serviço legítimo.
O dispositivo distingue-se dos métodos tradicionais. Os códigos de uso único, os SMS ou as notificações push, mesmo sendo mais robustos do que as palavras-passe isoladas, continuam vulneráveis ao phishing, aos ataques de intermediário, à fadiga causada por pedidos repetidos (MFA fatigue), ao SIM swapping e à engenharia social. Com as passkeys, o dispositivo do utilizador conserva uma chave privada, enquanto o serviço guarda a chave pública correspondente. A chave privada nunca é transmitida durante a autenticação.
Autenticar não é identificar
Uma autenticação bem-sucedida fornece uma prova criptográfica sólida de que um identificador associado a uma conta seguiu o processo. No entanto, não diz se a conta foi criada legitimamente, se a identidade subjacente foi comprometida, se o dispositivo é fiável ou se um atacante está a agir através de uma sessão autenticada.
O risco desloca-se, nomeadamente, durante o registo. Se um atacante criar ou tomar o controlo de uma conta antes de uma passkey lhe ser associada, a organização pode depois autenticar com um alto nível de segurança a pessoa errada. Quanto mais sólido for o dispositivo de autenticação, mais importante se torna a integridade desta etapa.
A questão também se coloca quando o utilizador muda de dispositivo, o que acontece frequentemente: telemóveis perdidos, roubados ou substituídos, novos portáteis, mudanças de ecossistema. Se o procedimento de recuperação depender de uma palavra-passe, de um código por SMS, de um link por e-mail, de uma pergunta secreta ou de um serviço de assistência, os atacantes podem visar este caminho mais fraco. Como resume a análise, «a passkey não foi comprometida. O atacante contornou o dispositivo».
Avaliar a confiança ao longo do tempo
Segundo a análise, a autenticação constitui apenas um momento do percurso. Os ataques modernos podem desviar sessões já abertas, comprometer dispositivos de confiança, abusar de privilégios ou modificar atributos de conta. Nestes casos, o mecanismo de autenticação pode ter funcionado exatamente como previsto.
O autor propõe, portanto, complementar as passkeys com a deteção de ameaças relacionadas com a identidade, que avalia continuamente o risco. As características do dispositivo, os atributos da identidade, os comportamentos anormais, as informações sobre a rede ou as alterações na conta podem ajudar a determinar se uma identidade continua digna de confiança. Um utilizador conhecido, a partir de um dispositivo estabelecido e com um comportamento habitual, não deverá ser incomodado. Em contrapartida, uma tentativa de recuperação a partir de um dispositivo desconhecido ou uma modificação de atributos críticos pode desencadear uma verificação adicional.
O modelo passa assim de «autenticar uma vez, depois confiar» para «estabelecer confiança, avaliar o risco continuamente e reagir quando a confiança muda». As passkeys respondem à questão de saber se o utilizador possui um identificador legítimo, enquanto a deteção de ameaças relacionadas com a identidade aborda a questão de saber se ainda se deve confiar nessa identidade. As organizações devem responder a ambas.
