Login sem senha com senhas de acesso

Chaves de acesso

Introdução

As chaves de acesso são uma alternativa mais fácil e segura para as senhas. Com as chaves de acesso, os usuários podem fazer login em apps e sites com um sensor biométrico (como impressão digital ou reconhecimento facial), PIN ou padrão. Assim, eles não precisam lembrar e gerenciar senhas.

Desenvolvedores e usuários odeiam senhas: eles proporcionam uma experiência ruim ao usuário, atribuem atrito de conversão e criam responsabilidade na segurança dos usuários e desenvolvedores. O Gerenciador de senhas do Google no Android e no Chrome reduz o atrito por meio do preenchimento automático. Para desenvolvedores que buscam ainda mais melhorias na conversão e segurança, as chaves de acesso e a federação de identidade são as abordagens modernas do setor.

Uma senha de acesso pode atender aos requisitos de autenticação multifator em uma única etapa, substituindo uma senha e uma OTP (por exemplo, código SMS de seis dígitos) para fornecer proteção robusta contra ataques de phishing e evitar a dor da UX de senhas únicas ou com base em app. Como as chaves de acesso são padronizadas, uma única implementação permite uma experiência sem senha em todos os dispositivos dos usuários, em diferentes navegadores e sistemas operacionais.

As chaves de acesso são mais fáceis:

  • Os usuários podem selecionar uma conta para fazer login. Não é necessário digitar o nome de usuário.
  • Os usuários podem fazer a autenticação usando o bloqueio de tela do dispositivo, como sensor de impressão digital, reconhecimento facial ou PIN.
  • Depois que uma senha de acesso é criada e registrada, o usuário pode alternar facilmente para um novo dispositivo e usá-lo imediatamente sem precisar se inscrever novamente (ao contrário da autenticação biométrica tradicional, que requer configuração em cada dispositivo).

Chaves de acesso são mais seguras:

  • Os desenvolvedores só salvam uma chave pública no servidor em vez de uma senha. Isso significa que há muito menos valor para um usuário de má-fé invadir nos servidores e muito menos limpeza no caso de uma violação.
  • As chaves de acesso protegem os usuários contra ataques de phishing. As chaves de acesso só funcionam em sites e aplicativos registrados. Não é possível induzir o usuário a fazer a autenticação em um site enganoso, porque o navegador ou o SO lida com a verificação.
  • As chaves de acesso reduzem os custos de envio de SMS, tornando-as um meio mais seguro e econômico de autenticação de dois fatores.

O que são chaves de acesso?

Uma senha de acesso é uma credencial digital vinculada a uma conta de usuário e um site ou aplicativo. As chaves de acesso permitem que os usuários se autentiquem sem ter que inserir um nome de usuário ou senha ou fornecer qualquer fator de autenticação adicional. O objetivo dessa tecnologia é substituir mecanismos de autenticação legados, como senhas.

Quando um usuário quiser fazer login em um serviço que usa chaves de acesso, o navegador ou sistema operacional dele o ajudará a selecionar e usar a senha correta. A experiência é semelhante à forma como as senhas salvas funcionam hoje. Para garantir que somente o proprietário legítimo possa usar uma senha de acesso, o sistema solicitará que ele desbloqueie o dispositivo. Isso pode ser feito com um sensor biométrico (como impressão digital ou reconhecimento facial), PIN ou padrão.

Para criar uma senha de acesso para um website ou aplicativo, primeiro o usuário deve se registrar nesse website ou aplicativo.

  1. Acesse o aplicativo e faça login usando o método de login existente.
  2. Clique no botão Criar uma senha de acesso.
  3. Verifique as informações armazenadas com a nova chave de acesso.
  4. Use o desbloqueio de tela do dispositivo para criar a senha de acesso.

Quando eles retornam a esse site ou app para fazer login, eles podem seguir as seguintes etapas:

  1. Acesse o aplicativo.
  2. Toque no campo de nome da conta para mostrar uma lista de chaves de acesso em uma caixa de diálogo de preenchimento automático.
  3. Selecione a senha de acesso.
  4. Use o desbloqueio de tela do dispositivo para concluir o login.

O dispositivo do usuário gera uma assinatura com base na senha de acesso. Essa assinatura é usada para verificar a credencial de login entre a origem e a chave de acesso.

Um usuário pode fazer login em serviços em qualquer dispositivo usando uma senha de acesso, independentemente de onde ela é armazenada. Por exemplo, uma senha de acesso criada em um celular pode ser usada para fazer login em um website em um laptop separado.

Como as chaves de acesso funcionam?

O objetivo é usar chaves de acesso por meio da infraestrutura do sistema operacional que permita que os administradores criem, façam backup e disponibilizem chaves de acesso para os aplicativos em execução nesse sistema operacional. No Android, as chaves de acesso podem ser armazenadas no Gerenciador de senhas do Google, que sincroniza as chaves entre os dispositivos Android dos usuários que fizeram login na mesma Conta do Google. As chaves de acesso são criptografadas com segurança no dispositivo antes de serem sincronizadas e exigem a descriptografia em novos dispositivos. Os usuários com o Android OS 14 ou mais recente podem optar por armazenar as chaves de acesso em um gerenciador de senhas compatível de terceiros.

Os usuários não estão restritos a usar as chaves de acesso somente no dispositivo em que estão disponíveis. As chaves de acesso disponíveis nos smartphones podem ser usadas ao fazer login em um laptop, mesmo que a senha não esteja sincronizada com o laptop, desde que ele esteja perto do laptop e o usuário aprove o login. Como as chaves de acesso são criadas com base nos padrões FIDO (em inglês), todos os navegadores podem adotá-las.

Por exemplo, um usuário visita example.com no navegador Chrome na máquina Windows. Esse usuário fez login anteriormente em example.com no dispositivo Android e gerou uma chave de acesso. Na máquina Windows, o usuário decide fazer login com uma senha de outro dispositivo. Os dois dispositivos serão conectados e o usuário precisará aprovar o uso da chave de acesso no dispositivo Android, por exemplo, com um sensor de impressão digital. Depois disso, eles fazem login na máquina Windows. A senha em si não é transferida para a máquina do Windows. Portanto, normalmente example.com se oferecerá para criar uma nova chave de acesso nela. Dessa forma, o telefone não será necessário na próxima vez que o usuário quiser fazer login. Leia Fazer login com um smartphone para saber mais.

Quem está usando as chaves de acesso?

Vários serviços já estão usando chaves de acesso nos sistemas.

Sua vez de tentar

Teste as chaves de acesso nesta demonstração: https://passkeys-demo.appspot.com/

Considerações sobre privacidade

  • O login com biometria pode dar aos usuários uma impressão falsa de que isso está enviando informações confidenciais para o servidor. Na realidade, o material biométrico nunca sai do dispositivo pessoal do usuário.
  • As chaves de acesso por si só não permitem rastrear usuários ou dispositivos entre sites. A mesma chave de acesso nunca é usada em mais de um site. Os protocolos de chave de acesso são cuidadosamente projetados para que nenhuma informação compartilhada com sites possa ser usada como um vetor de acompanhamento.
  • Os gerenciadores de chaves de acesso protegem as chaves de acesso contra acesso e uso não autorizados. Por exemplo, o Gerenciador de senhas do Google criptografa os secrets da chave de acesso de ponta a ponta. Somente o usuário pode acessá-los e usá-los, e, embora o backup deles seja feito nos servidores do Google, o Google não pode usá-los para falsificar a identidade de usuários.

Considerações sobre segurança

  • As chaves de acesso usam a criptografia de chave pública. A criptografia de chave pública reduz a ameaça de possíveis violações de dados. Quando um usuário cria uma senha de acesso com um site ou aplicativo, isso gera um par de chaves pública/privada no dispositivo do usuário. Somente a chave pública é armazenada pelo site, mas só isso é inútil para um invasor. Um invasor não consegue extrair a chave privada do usuário dos dados armazenados no servidor, o que é necessário para concluir a autenticação.
  • Como as chaves de acesso estão vinculadas à identidade de um site ou app, elas estão protegidas contra ataques de phishing. O navegador e o sistema operacional garantem que uma chave de acesso só possa ser usada com o site ou app que a criou. Isso libera os usuários de serem responsáveis por fazer login no website ou aplicativo genuíno.

Receber notificações

Inscreva-se na newsletter para desenvolvedores sobre chaves de acesso do Google (em inglês) para receber notificações sobre atualizações.

Próximas etapas