Tenho argumentado que as senhas são horríveis há quase uma década e fui um dos primeiros a adotar com entusiasmo a abordagem muito melhor das chaves de acesso.
As chaves de acesso deveriam atingir o Santo Graal de uma abordagem que é mais segura que as senhas e tão fácil de usar que todos as adotariam. Mas uma nova peça descreve quatro problemas com a tecnologia…
As chaves de acesso são mais seguras que as senhas
As senhas apresentam vários problemas de segurança:
- Os sites podem conhecê-los, mesmo que estejam supostamente criptografados
- Os não-técnicos tendem a reutilizar senhas, então as violações de dados são extremamente problemáticas
- As senhas são vulneráveis a ataques de phishing
As chaves de acesso resolvem tudo isso. Em vez de sermos questionados sobre nosso nome de usuário e senha quando fazemos login, somos convidados a usar uma chave de acesso. Com este sistema, o site ou aplicativo solicita nosso dispositivo para nos autenticar, usando Face ID ou Touch ID. O dispositivo informa ao site quem somos e que confirmou nossa identidade.
O servidor web confia no seu dispositivo para autenticá-lo exatamente da mesma forma que os terminais de pagamento confiam no seu iPhone ou Apple Watch para transações do Apple Pay – porque sabe que você foi autenticado localmente usando biometria.
Em teoria, as chaves de acesso são muito mais simples
Quando criamos uma conta, devemos ter a opção de usar uma chave de acesso, e tudo o que precisamos fazer é concordar. Nosso dispositivo nos autentica e o serviço cria nossa conta. Para fazer login na próxima vez, basta usar o Face ID ou Touch ID e pronto.
Mas existem quatro grandes problemas
Se você usa apenas dispositivos Apple e usa o Safari como navegador em todos eles, as chaves de acesso são obtidas fechar para ser tão simples. A sincronização do iCloud significa que uma conta criada em um dispositivo Apple estará acessível em todos os outros.
Mas como Arstécnica destaca, há uma muito de situações em que a realidade é bastante diferente da promessa, começando com experiências de usuário inconsistentes.
A experiência de fazer login no PayPal com uma chave de acesso no Windows será diferente de fazer login no mesmo site no iOS ou mesmo fazer login com o Edge no Android. E esqueça de tentar usar uma chave de acesso para fazer login no PayPal no Firefox. O site de pagamento não oferece suporte a esse navegador em nenhum sistema operacional.
Pior ainda, as chaves de acesso estão vinculadas a navegadores específicos.
Outro exemplo é quando crio uma chave de acesso para minha conta do LinkedIn no Firefox. Como uso uma grande variedade de navegadores em plataformas, optei por sincronizar a chave de acesso usando meu gerenciador de senhas 1Password. Em teoria, essa escolha me permite usar automaticamente essa chave de acesso em qualquer lugar onde eu tenha acesso à minha conta 1Password, algo que de outra forma não seria possível. Mas não é tão simples assim. Quando olho para a chave de acesso nas configurações do LinkedIn, ela aparece como criada para Firefox no Mac OS X 10, embora funcione em todos os navegadores e sistemas operacionais que estou usando.
Uma terceira questão é que empresas como Google e Apple podem chegar perto de forçá-lo a usar seus próprios sistemas de gerenciamento de senha, mesmo quando você tem uma preferência diferente e, às vezes, quando já possui uma chave de acesso configurada.
Só quero abrir o LinkedIn usando a chave de acesso que está sendo sincronizada pelo 1Password para todos os meus dispositivos. De alguma forma, a misteriosa entidade responsável por esta mensagem (neste caso é o Google) sequestrou o processo na tentativa de me convencer a usar sua plataforma.
Considere também a experiência no WebAuthn.io, um site que demonstra como o padrão funciona em diferentes cenários. Quando um usuário deseja registrar uma chave de segurança física para fazer login no macOS, ele recebe uma caixa de diálogo que o orienta a usar uma chave de acesso e sincronizá-la por meio do iCloud.
Finalmente, há o fato de que, embora o objetivo das chaves de acesso seja eliminar as falhas de segurança criadas pelas senhas, quase todos os serviços obrigam você a criar um login com senha também.
Das centenas de sites que oferecem suporte a senhas, não conheço nenhum que permita aos usuários abandonar completamente suas senhas. A senha ainda é obrigatória (…) Os atores da ameaça planejarão hacks e ataques de engenharia social que explorem essa deficiência. Então estamos de volta onde estávamos antes.
A peça completa vale a pena ler.
Foto de ORegisti sobre Remover respingo
FTC: Usamos links de afiliados automotivos para geração de renda. Mais.
