Futuro sem senhas: um FAQ completo sobre chaves de acesso

O que é uma chave de acesso e como ela funciona?

Chaves de acesso são uma forma de autenticação que permite criar contas e entrar nelas rapidamente, sem precisar usar uma senha menos segura. Esse método de login seguro em uma única etapa substitui os métodos tradicionais de autenticação, bem como o processo de autenticação de dois fatores (2FA). Melhor ainda: com chaves de acesso, você nunca mais criará uma senha fraca, porque nunca mais precisará criar uma senha.

As chaves de acesso substituem chaves físicas de hardware, como YubiKeys?

Uma YubiKey moderna pode ser usada como uma forma de chave de acesso. Especificamente, elas são conhecidas como chaves de segurança ou “chaves de acesso vinculadas ao dispositivo”: a chave em si fica no pequeno dispositivo e nunca é sincronizada nem incluída em backups. Isso pode torná-las mais difíceis de usar do que uma chave de acesso sincronizada, mas pode ser útil em determinados cenários.

Chaves de acesso são o mesmo que sem senha?

Sim. Como as chaves de acesso não exigem senha, elas são consideradas um método de autenticação sem senha. Observe que, em geral, as chaves de acesso são mais seguras do que outros meios de autenticação sem senha que podem ser mais facilmente alvo de phishing.

Qual é a melhor forma de usar chaves de acesso?

Usar uma chave de acesso é muito mais simples do que você imagina. Ao criar uma nova conta, em vez de criar um nome de usuário e uma senha tradicionais (e fazer a inscrição adicional no login em duas etapas), você cria uma única chave de acesso. Essa chave de acesso pode ser associada à biometria do seu dispositivo (como um leitor de impressão digital) ou a um PIN, caso a chave de acesso exija verificação do usuário. Assim, quando você for entrar na conta, só precisará se autenticar por biometria ou PIN para acessar. A biometria é usada apenas localmente no seu dispositivo e nunca é enviada ao site.

Qual é o processo para configurar uma chave de acesso? Como esse processo muda quando eu acessar um site ou app no futuro?

Quando um site ou app que antes usava um nome de usuário/senha tradicional habilita o suporte a chaves de acesso, muitas vezes basta clicar em um botão para criar sua primeira chave de acesso. O processo é tão fácil quanto desbloquear seu dispositivo. Em segundo plano, ao criar uma chave de acesso, será gerado um par de chaves criptográficas. A primeira é a chave pública, armazenada no site para o qual você está criando a conta. A segunda é a chave privada, armazenada no seu dispositivo ou no seu Cofre Bitwarden. Esse par de chaves é protegido no seu dispositivo pela sua biometria, como impressão digital ou reconhecimento facial.

Quais informações são necessárias ao configurar uma chave de acesso?

Ao criar uma chave de acesso para um site, primeiro você terá que entrar com seu nome de usuário e senha existentes. Em seguida, o servidor enviará uma solicitação ao seu navegador para fornecer informações específicas de criptografia. Depois, você terá que aprovar a solicitação usando, por exemplo, biometria (leitor de impressão digital ou desbloqueio facial) ou o código PIN do seu dispositivo. Após a verificação bem-sucedida, seu dispositivo gerará o par de chaves e enviará a chave pública ao site. E essas são todas as informações que você precisará fornecer ao configurar uma chave de acesso.

Onde minhas chaves de acesso ficam armazenadas?

A chave pública é armazenada no site, e a chave privada é armazenada no seu dispositivo ou no seu provedor de chaves de acesso, por exemplo, no seu Cofre Bitwarden.

Do ponto de vista da segurança, como senhas e chaves de acesso se comparam?

As chaves de acesso são mais seguras do que o método tradicional de autenticação com nome de usuário e senha por vários motivos. Em primeiro lugar, você não poderá usar senhas fáceis de descobrir, como “senha.” Além disso, a 2FA é integrada à chave de acesso, e a única forma de alguém acessar sua conta seria ter tanto a chave privada quanto seu login biométrico ou o código PIN do dispositivo.

Preciso de 2FA com minha chave de acesso?

Não, porque a 2FA é integrada à chave de acesso fornecida ao site durante o processo de login. Cada site pode optar por incluir uma etapa adicional para entrar, embora a maioria não faça isso.

Minha chave de acesso pode ser hackeada?

Nada é 100% infalível. No entanto, hackear uma chave de acesso exigiria um esforço considerável não só para obter acesso ao dispositivo onde a chave privada está armazenada, mas também para invadir seu dispositivo, por exemplo, recriando seu login biométrico (impressão digital ou rosto) ou o código PIN do dispositivo. Por isso, as chaves de acesso são muito mais seguras do que os métodos tradicionais.

O que acontece se eu perder meu celular? Como recupero minha chave de acesso sem algo como uma senha para me identificar?

As chaves de acesso muitas vezes podem ser sincronizadas entre seus dispositivos, mas nem todas as plataformas oferecem suporte a isso ainda. O Bitwarden permitirá que você armazene suas chaves de acesso no seu cofre, que tem backup e é sincronizado entre todos os seus dispositivos. Se, de alguma forma, você perder suas chaves de acesso, a maioria dos sites deve oferecer opções de recuperação, para que você possa criar uma nova chave de acesso para sua conta. Isso, é claro, dependerá de cada site.

O que acontece se meu dispositivo for roubado? Um ladrão pode acessar as chaves de acesso dessa forma?

A única forma de um ladrão usar suas chaves de acesso no seu dispositivo com sucesso seria se ele também conseguisse desbloquear o dispositivo, obtendo efetivamente acesso total aos seus dados. No entanto, cada uso de uma chave de acesso geralmente exige verificação do usuário, como biometria ou a reinserção do PIN do dispositivo, portanto roubar seu dispositivo enquanto ele está desbloqueado não seria suficiente.

O Google anunciou recentemente suporte a chaves de acesso. É a mesma coisa que o Bitwarden está anunciando?

Em parte. O Google anunciou que adicionou suporte à autenticação por chave de acesso para contas do Workspace, o que significa que os usuários podem entrar no Google Workspace com uma chave de acesso em vez da senha habitual. Da mesma forma, os usuários do Bitwarden poderão acessar suas contas Bitwarden com uma chave de acesso em vez da senha mestra.

O Bitwarden também anunciou que os usuários poderão salvar, armazenar e gerenciar chaves de acesso registradas associadas aos sites e aplicativos que usam diretamente em seus cofres. Portanto, o Google agora possibilita usar chaves de acesso em contas, e o Bitwarden é capaz de armazenar chaves de acesso em cofres.

Uso a mesma chave de acesso independentemente do navegador em que estou, ou cada site exigirá uma chave de acesso diferente dependendo do navegador ou dispositivo?

As chaves de acesso armazenadas no Bitwarden são chaves de acesso sincronizadas, o que significa que, em qualquer navegador em que você esteja conectado à extensão do Bitwarden ou onde tenha o aplicativo móvel do Bitwarden instalado, você pode acessar suas contas usando as mesmas chaves de acesso sem precisar criar novas. Se você não armazenar suas chaves de acesso no Bitwarden, isso dependerá de quão bem o navegador se integra ao sistema operacional do seu dispositivo (onde as chaves de acesso são armazenadas).

A lista crescente de sites que oferecem suporte a chaves de acesso no momento inclui Best Buy, Cloudflare, eBay, Google, Kayak, PayPal e GitHub. Um Índice de Chaves de Acesso mantido pela comunidade está disponível no GitHub.

Os usuários podem usar uma chave de acesso para acessar suas contas sem uma senha mestra no aplicativo web usando navegadores compatíveis. As chaves de acesso também podem ser criadas e armazenadas nos cofres do Bitwarden para acessar sites compatíveis com chaves de acesso.

As chaves de acesso podem ser usadas entre plataformas? Se não, há algum problema em ter chaves de acesso diferentes dependendo da plataforma que você está usando?

Existem dois tipos de chaves de acesso: chaves de acesso vinculadas ao dispositivo e chaves de acesso sincronizadas. As chaves de acesso vinculadas ao dispositivo ficam limitadas ao dispositivo em que foram criadas. As chaves de acesso sincronizadas podem ser armazenadas em um provedor de chaves de acesso, como o Bitwarden, e usadas onde quer que você esteja conectado.

Se eu adotar chaves de acesso, ficarei preso a usá-las?

Isso dependerá do site ou da conta. Alguns sites podem optar por oferecer apenas autenticação por chave de acesso, enquanto outros podem oferecer autenticação tradicional com nome de usuário/senha ou autenticação com nome de usuário/senha/2FA.

As chaves de acesso podem ser compartilhadas com outras pessoas de confiança?

Isso depende da plataforma. Algumas plataformas, incluindo o Bitwarden, permitem compartilhar chaves de acesso com pessoas de confiança.

Há suporte, como um representante em chat ao vivo com quem eu possa falar se tiver problemas com minha chave de acesso?

Isso dependerá do site. Se um site oferecer suporte à autenticação por chave de acesso e também oferecer suporte, ele poderá responder às suas perguntas sobre a autenticação por chave de acesso nesse site específico.

Se eu não quiser mais usar minha chave de acesso, posso removê-la?

Sim. Isso será feito da mesma forma que você removeria uma senha no seu dispositivo.