Passkey (autenticação)

Uma passkey (chave de acesso em português) é um sistema de credenciamento digital usado como método de autenticação para um site ou aplicativo.^[1][2][3] O padrão Passkeys é um método de autenticação sem senha, amplamente divulgado pelo World Wide Web Consortium e pela FIDO Alliance.^[4] Esses passkeys são normalmente armazenados pelo sistema operacional ou navegador da web e sincronizados entre dispositivos do mesmo ecossistema usando a nuvem.^[1][5] No entanto, também é possível restringi-los a um único dispositivo, como uma chave de segurança física.

Os passkeys foram desenvolvidos com o objetivo de oferecer maior conveniência e resistência ao phishing em comparação aos métodos tradicionais de autenticação.^[4][6] Geralmente, eles são protegidos por posse (do dispositivo ou chave de segurança) e frequentemente utilizam a biometria como um fator adicional de segurança, eliminando a necessidade de o usuário memorizar uma senha. Isso torna o processo de autenticação mais ágil e seguro.

O termo "Passkeys" foi popularizado pela primeira vez em junho de 2022, quando a Apple anunciou que adicionaria suporte para essa padrão no iOS e macOS .^[6][1] O Google anunciou que o Android e o Google Chrome ofereceriam suporte a Passkeys em outubro de 2022^[7] e suporte para contas pessoais do Google em maio de 2023.^[8]

A Dashlane foi pioneira ao oferecer suporte ao armazenamento de senhas em um navegador da web, com seu lançamento público ocorrendo em agosto de 2022. Pouco tempo depois, em fevereiro de 2023,^[5] o NordPass também passou a oferecer essa funcionalidade.^[9] Outros gerenciadores de senhas têm planos de incorporar essa opção no futuro, ampliando ainda mais as opções disponíveis para os usuários.^[10][11]

A passkey é uma entidade invisível para os usuários, consistindo de um par de chaves: pública e privada. A chave pública é registrada no site ou aplicativo onde a autenticação será realizada, enquanto a chave privada é armazenada exclusivamente no dispositivo.^[12]

Durante o processo de login, o provedor de serviços cria um desafio exclusivo que requer a utlização da chave privada correspondente. No entanto, seu dispositivo só executa essa ação se o usuário aprovar através da biometria e o Bluetooth estiver ativado. Em seguida, o provedor de serviços verifica a assinatura utilizando a chave pública.^[13]