Pare de usar passkeys para criptografar dados de usuários

03 de março de 2026

Resumo

Utilizar a extensão WebAuthn PRF (Pseudo-Random Function) de passkeys para derivar chaves de criptografia para dados E2EE (criptografados de ponta a ponta) acopla perigosamente a disponibilidade dos dados às credenciais de autenticação, aumentando dramaticamente o "blast radius" da perda ou exclusão rotineira de credenciais. As UIs comuns de gerenciadores de senhas não comunicam claramente que a exclusão de uma passkey pode desassociar permanentemente backups criptografados. Dessa forma, usuários podem recuperar suas contas por outros métodos, mas ainda serem incapazes de descriptografar ou restaurar seus dados, um cenário de perda de dados autoinfligido e irreversível. Se for essencial usar PRF, implemente avisos proeminentes e documentação de suporte, e incentive os gerenciadores de credenciais a exibir alertas explícitos de exclusão para passkeys com PRF habilitado. ️

Fontes

blog.timcappalli.mefonte original

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 03 de março de 2026
Editoria: CEVIU Segurança da Informação

Quer receber mais sobre CEVIU Segurança da Informação?