Passkeys: Aprimorando a Segurança contra Phishing, sem a Atestação WebAuthn

A discussão sobre a segurança das Passkeys, e em particular o papel da atestação WebAuthn, gera dúvidas no mercado. É crucial entender que a maioria das Passkeys em uso hoje, como as sincronizadas em gerenciadores de senhas, não utiliza atestação. Mesmo quando presente, a atestação WebAuthn tem um escopo limitado: ela apenas identifica o modelo do autenticador, por meio de um AAGUID, com uma cadeia de certificados do fabricante. Não há como, por meio dela, verificar o sistema operacional, navegador, extensões ou firmware do dispositivo do usuário. Portanto, a ideia de que a atestação permitiria um controle granular excessivo sobre o ambiente do usuário é uma simplificação que não corresponde à realidade técnica.

O ponto principal, como já abordamos em nossa matéria “Passkeys e WebAuthn: Desafios Críticos de Implementação e Segurança”, é que as Passkeys são intrinsecamente vinculadas ao domínio (RP ID) para o qual foram criadas. Isso as torna extremamente resistentes a ataques de phishing, diferentemente de métodos como TOTP, que são vulneráveis a golpes de engenharia social que levam o usuário a inserir o código em um site falso. Embora as Passkeys resolvam grande parte dos problemas de phishing, é sempre bom lembrar que a segurança da sessão da aplicação ainda requer atenção, conforme detalhado em “Considerações de Segurança ao Utilizar Passkeys em Seu Website”, abordando riscos como XSS e CSRF.

Para a comunidade de desenvolvimento, esta clarificação é vital. Ela reforça a confiança na implementação de Passkeys como a melhor defesa contra ataques de phishing, sem os temores infundados sobre privacidade e controle excessivo via atestação. A adoção generalizada das Passkeys, impulsionada por gigantes como a Microsoft, que as elevou a padrão de autenticação no Entra ID a partir de julho e acelera a transição em setembro, ou a Bitwarden, que em março implementou o login por Passkey no Windows 11, demonstra a direção do mercado.

Continuar a investir em Passkeys significa não apenas fortalecer a segurança das aplicações, mas também aprimorar a experiência do desenvolvedor e do usuário. Entender seus mecanismos e limitações reais é fundamental para construir sistemas mais robustos e resilientes, à medida que a indústria avança para um futuro sem senhas tradicionais.