URGENTE: Pare de usar passkeys para criptografar dados de usuários

03 de março de 2026

Resumo

Utilizar a extensão WebAuthn PRF (Pseudo-Random Function) de passkeys para derivar chaves de criptografia para dados E2EE (criptografados de ponta a ponta) acopla perigosamente a disponibilidade dos dados às credenciais de autenticação, aumentando dramaticamente o "blast radius" da perda ou exclusão rotineira de credenciais. As UIs comuns de gerenciadores de senhas não comunicam claramente que a exclusão de uma passkey pode desassociar permanentemente backups criptografados. Dessa forma, usuários podem recuperar suas contas por outros métodos, mas ainda serem incapazes de descriptografar ou restaurar seus dados — um cenário de perda de dados autoinfligido e irreversível. Se for essencial usar PRF, implemente avisos proeminentes e documentação de suporte, e incentive os gerenciadores de credenciais a exibir alertas explícitos de exclusão para passkeys com PRF habilitado. ️

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 03 de março de 2026
Fonte: CEVIU Segurança da Informação

Quer receber mais sobre CEVIU Segurança da Informação?