Como impactamos
act PROSPERI.AI
A inteligência artificial corporativa act digital
Soluções
Serviços
parcerias
Quantos de nós já se esqueceram da palavra-passe para aceder a uma conta? Provavelmente todos nós, certo? Esse é um dos problemas das antiquadas palavras-passe que todos usamos – hoje em dia, para serem seguras, têm de ser extremamente complexas, o que exige uma extraordinária memória ou, em alternativa, a ajuda de inseguras aplicações de gestão de palavras-passe.
Mas e se houvesse uma forma ainda mais segura de acedermos às nossas contas sem termos de nos lembrar das palavras-passe? A Google acredita que as passkeys são a resposta.
Uma passkey é uma credencial digital que permite aos utilizadores autenticarem-se e iniciarem sessão em aplicações e websites sem terem de memorizar um nome de utilizador e uma palavra-passe, necessitando apenas de um sensor biométrico (impressão digital ou reconhecimento facial), PIN ou padrão.
Ao contrário das palavras-passe, este método de início de sessão não requer um fator de autenticação adicional (como as OTP – One-Time Passwords). De acordo com a Google, isto torna as passkeys mais fáceis de utilizar e 40% mais rápidas do que as palavras-passe. A Google também argumenta que as passkeys são mais seguras, devido ao tipo de criptografia em que se baseiam.
É por isso que a Google está a tornar oficialmente as passkeys na opção de início de sessão padrão para todos os utilizadores. Então, que melhor altura do que esta para descobrirmos mais sobre as vantagens, riscos e desafios das passkeys?
Quando as palavras-passe foram inventadas pela primeira vez – nos anos 1960, por um professor do MIT –, bastavam palavras simples e fáceis de memorizar para impedir o acesso não autorizado. Hoje em dia, contudo, os hackers são extremamente rápidos a desvendar combinações complexas de caracteres, o que torna as palavras-passe um método de início de sessão inseguro e frágil.
O que acontece é que a maioria das pessoas ou escreve as suas palavras-passe num post-it (físico ou digital), o que não é a mais segura das opções, ou utiliza aplicações de gestão de palavras-passe, que também são facilmente corrompíveis. Prova disso é o que aconteceu à Last Pass, que foi alvo de um preocupante ciberataque em agosto de 2022, e mais recentemente à Okta, cujos dados dos utilizadores foram comprometidos em outubro de 2023.
É verdade que, recentemente, a Autenticação Multifator (MFA) aumentou muito o nível de segurança deste método de login, mas o facto é que continuamos a precisar de nos lembrar da palavra-passe principal para prosseguirmos.
Portanto, em resumo, as palavras-passe já não são vistas como user-friendly ou seguras, o que está a levar ao seu declínio.
Em 2012, a Aliança FIDO (Fast Identity Online) foi fundada por vários líderes de empresas de diferentes setores para trabalharem em conjunto num protocolo de autenticação sem palavra-passe.
A primeira versão da chamada autenticação FIDO foi concluída e lançada em 2014, enquanto a FIDO2 viu a luz do dia em 2018, definindo como padrão a autenticação forte FIDO em todos os browsers e infraestruturas de plataformas web relacionadas.
De um modo geral, a autenticação FIDO baseia-se em criptografia de chave pública – a base das passkeys. André Cortez, Administrador de Sistemas e Infraestruturas da act digital explica como funciona: “As passkeys usam uma encriptação que consiste em duas keys: uma pública que fica alojada no host do serviço; e uma privada que está no dispositivo do utilizador. Após aprovação biométrica, é enviada uma chave pública que emparelha com a do serviço e a autenticação é feita. A chave privada nunca é enviada.”
A resposta parece ser afirmativa. Segundo André Cortez, devido à forma como a encriptação das passkeys funciona, “deixa de haver o risco de roubo de passwords ou de identidade comprometida no caso de perda ou roubo dos próprios dispositivos”, garante.
Elyes Chemengui, especialista em cibersegurança da act digital, concorda com o André, destacando o facto de as passkeys exigirem proximidade física com os dispositivos. “As passkeys ajudam a mitigar o roubo de credenciais através da autenticação física. Não são suscetíveis de sofrerem phishing ou violações de palavras-passe. Isto significa que, se alguém obtiver o teu nome de utilizador e a tua palavra-passe, continuará a precisar da passkey física para aceder à tua conta, reduzindo significativamente o risco de acesso não autorizado e aumentando a segurança global”, esclarece Elyes.
Em suma, o nosso especialista em cibersegurança acredita que “as passkeys podem mitigar eficazmente várias ciberameaças”, nomeadamente:
Especificamente no que toca a empresas, quando se trata de integrar passkeys em infraestruturas de IT já existentes, o nosso Administrador de Sistemas e Infraestruturas acredita que, atualmente, não é um problema. “Praticamente todos os telemóveis, tablets e laptops já têm sensores biométricos, por isso parece-me que facilmente se podem adotar estes novos métodos. Do lado dos utilizadores, está garantida a infraestrutura, com os dispositivos e sistemas com capacidade de gerir e reconhecer registos biométricos. Resta agora às empresas adaptar as suas infraestruturas atuais para aceitarem passkeys.”
Elyes Chemengui, por outro lado, acredita que o processo de “garantir a compatibilidade e a integração harmoniosa das passkeys com os sistemas e software existentes pode impor desafios durante o processo de adoção, causando potenciais perturbações nos fluxos de trabalho”. “Podem ser necessários ajustes ou atualizações da configuração atual. Um plano de implementação pode minimizar as perturbações”, explica.
No que diz respeito a políticas de privacidade e controlo, ambos os especialistas da act digital manifestam alguma preocupação. “Um dos benefícios das passkeys é o sincronismo entre dispositivos dentro do mesmo ecossistema. Apesar de conveniente para os utilizadores, é um problema em termos de controlo, segurança e compliance. Dispositivos pessoais e passkeys que sincronizam entre si podem significar credenciais e dados corporativos partilhados com pessoas fora da organização”, alerta André Cortez. E Elyes acrescenta: “A biometria e outros métodos avançados de autenticação implicam a recolha e o armazenamento de dados sensíveis dos utilizadores. Garantir a privacidade e o tratamento seguro destes dados é crucial”.
Além destes desafios, o nosso especialista em cibersegurança identifica mais alguns potenciais problemas que as empresas devem ter em conta:
De acordo com os nossos especialistas, ao transitarem para um método de autenticação através de passkeys, as empresas e os seus funcionários devem ter em conta as seguintes medidas de segurança:
Além da Google, as seguintes empresas já apoiam a utilização de passkeys como alternativas às palavras-passe:
Apesar de as passkeys serem o método de início de sessão predefinido para todos os utilizadores, a Google continuará a apoiar as palavras-passe tradicionais. Isto significa que os utilizadores podem continuar a utilizá-las, se assim o preferirem, bastando desativar a opção “Ignorar palavra-passe quando possível”.
No entanto, especialistas da indústria, no geral, concordam que as passkeys parecem ser o futuro, não só porque são mais seguras, mas também porque são mais fáceis de utilizar.
Apesar dos potenciais riscos e desafios mencionados anteriormente, o nosso especialista em cibersegurança é perentório ao afirmar: “Sim, acredito que veremos um futuro sem palavras-passe”.
Quantos de nós já se esqueceram da palavra-passe para aceder a uma conta? Provavelmente todos nós, certo? Esse é um dos problemas das antiquadas palavras-passe que todos usamos – hoje em dia, para serem seguras, têm de ser extremamente complexas, o que exige uma extraordinária memória ou, em alternativa, a ajuda de inseguras aplicações de gestão de palavras-passe.
Mas e se houvesse uma forma ainda mais segura de acedermos às nossas contas sem termos de nos lembrar das palavras-passe? A Google acredita que as passkeys são a resposta.
Uma passkey é uma credencial digital que permite aos utilizadores autenticarem-se e iniciarem sessão em aplicações e websites sem terem de memorizar um nome de utilizador e uma palavra-passe, necessitando apenas de um sensor biométrico (impressão digital ou reconhecimento facial), PIN ou padrão.
Ao contrário das palavras-passe, este método de início de sessão não requer um fator de autenticação adicional (como as OTP – One-Time Passwords). De acordo com a Google, isto torna as passkeys mais fáceis de utilizar e 40% mais rápidas do que as palavras-passe. A Google também argumenta que as passkeys são mais seguras, devido ao tipo de criptografia em que se baseiam.
É por isso que a Google está a tornar oficialmente as passkeys na opção de início de sessão padrão para todos os utilizadores. Então, que melhor altura do que esta para descobrirmos mais sobre as vantagens, riscos e desafios das passkeys?
Quando as palavras-passe foram inventadas pela primeira vez – nos anos 1960, por um professor do MIT –, bastavam palavras simples e fáceis de memorizar para impedir o acesso não autorizado. Hoje em dia, contudo, os hackers são extremamente rápidos a desvendar combinações complexas de caracteres, o que torna as palavras-passe um método de início de sessão inseguro e frágil.
O que acontece é que a maioria das pessoas ou escreve as suas palavras-passe num post-it (físico ou digital), o que não é a mais segura das opções, ou utiliza aplicações de gestão de palavras-passe, que também são facilmente corrompíveis. Prova disso é o que aconteceu à Last Pass, que foi alvo de um preocupante ciberataque em agosto de 2022, e mais recentemente à Okta, cujos dados dos utilizadores foram comprometidos em outubro de 2023.
É verdade que, recentemente, a Autenticação Multifator (MFA) aumentou muito o nível de segurança deste método de login, mas o facto é que continuamos a precisar de nos lembrar da palavra-passe principal para prosseguirmos.
Portanto, em resumo, as palavras-passe já não são vistas como user-friendly ou seguras, o que está a levar ao seu declínio.
Em 2012, a Aliança FIDO (Fast Identity Online) foi fundada por vários líderes de empresas de diferentes setores para trabalharem em conjunto num protocolo de autenticação sem palavra-passe.
A primeira versão da chamada autenticação FIDO foi concluída e lançada em 2014, enquanto a FIDO2 viu a luz do dia em 2018, definindo como padrão a autenticação forte FIDO em todos os browsers e infraestruturas de plataformas web relacionadas.
De um modo geral, a autenticação FIDO baseia-se em criptografia de chave pública – a base das passkeys. André Cortez, Administrador de Sistemas e Infraestruturas da act digital explica como funciona: “As passkeys usam uma encriptação que consiste em duas keys: uma pública que fica alojada no host do serviço; e uma privada que está no dispositivo do utilizador. Após aprovação biométrica, é enviada uma chave pública que emparelha com a do serviço e a autenticação é feita. A chave privada nunca é enviada.”
A resposta parece ser afirmativa. Segundo André Cortez, devido à forma como a encriptação das passkeys funciona, “deixa de haver o risco de roubo de passwords ou de identidade comprometida no caso de perda ou roubo dos próprios dispositivos”, garante.
Elyes Chemengui, especialista em cibersegurança da act digital, concorda com o André, destacando o facto de as passkeys exigirem proximidade física com os dispositivos. “As passkeys ajudam a mitigar o roubo de credenciais através da autenticação física. Não são suscetíveis de sofrerem phishing ou violações de palavras-passe. Isto significa que, se alguém obtiver o teu nome de utilizador e a tua palavra-passe, continuará a precisar da passkey física para aceder à tua conta, reduzindo significativamente o risco de acesso não autorizado e aumentando a segurança global”, esclarece Elyes.
Em suma, o nosso especialista em cibersegurança acredita que “as passkeys podem mitigar eficazmente várias ciberameaças”, nomeadamente:
Especificamente no que toca a empresas, quando se trata de integrar passkeys em infraestruturas de IT já existentes, o nosso Administrador de Sistemas e Infraestruturas acredita que, atualmente, não é um problema. “Praticamente todos os telemóveis, tablets e laptops já têm sensores biométricos, por isso parece-me que facilmente se podem adotar estes novos métodos. Do lado dos utilizadores, está garantida a infraestrutura, com os dispositivos e sistemas com capacidade de gerir e reconhecer registos biométricos. Resta agora às empresas adaptar as suas infraestruturas atuais para aceitarem passkeys.”
Elyes Chemengui, por outro lado, acredita que o processo de “garantir a compatibilidade e a integração harmoniosa das passkeys com os sistemas e software existentes pode impor desafios durante o processo de adoção, causando potenciais perturbações nos fluxos de trabalho”. “Podem ser necessários ajustes ou atualizações da configuração atual. Um plano de implementação pode minimizar as perturbações”, explica.
No que diz respeito a políticas de privacidade e controlo, ambos os especialistas da act digital manifestam alguma preocupação. “Um dos benefícios das passkeys é o sincronismo entre dispositivos dentro do mesmo ecossistema. Apesar de conveniente para os utilizadores, é um problema em termos de controlo, segurança e compliance. Dispositivos pessoais e passkeys que sincronizam entre si podem significar credenciais e dados corporativos partilhados com pessoas fora da organização”, alerta André Cortez. E Elyes acrescenta: “A biometria e outros métodos avançados de autenticação implicam a recolha e o armazenamento de dados sensíveis dos utilizadores. Garantir a privacidade e o tratamento seguro destes dados é crucial”.
Além destes desafios, o nosso especialista em cibersegurança identifica mais alguns potenciais problemas que as empresas devem ter em conta:
De acordo com os nossos especialistas, ao transitarem para um método de autenticação através de passkeys, as empresas e os seus funcionários devem ter em conta as seguintes medidas de segurança:
Além da Google, as seguintes empresas já apoiam a utilização de passkeys como alternativas às palavras-passe:
Apesar de as passkeys serem o método de início de sessão predefinido para todos os utilizadores, a Google continuará a apoiar as palavras-passe tradicionais. Isto significa que os utilizadores podem continuar a utilizá-las, se assim o preferirem, bastando desativar a opção “Ignorar palavra-passe quando possível”.
No entanto, especialistas da indústria, no geral, concordam que as passkeys parecem ser o futuro, não só porque são mais seguras, mas também porque são mais fáceis de utilizar.
Apesar dos potenciais riscos e desafios mencionados anteriormente, o nosso especialista em cibersegurança é perentório ao afirmar: “Sim, acredito que veremos um futuro sem palavras-passe”.
