Passwordless: um tipo diferente de inferno?

Artigo original ↗ Discussão no Hacker News ↗

A autenticação moderna está presa entre ameaças de segurança crescentes e experiências de uso cada vez mais dolorosas. Os comentaristas trocam relatos de logins em várias etapas, timeouts de sessão curtos, 2FA forçado e “magic links” que transformam tarefas simples como comprar algo ou abrir notas em rituais de vários minutos, ao mesmo tempo em que observam que bancos e plataformas muitas vezes usam esse atrito para transferir a responsabilidade para os usuários. Muitos veem passkeys, tokens de hardware e melhores padrões como promissores, mas continuam céticos de que esquemas sem senha e biometria realmente reduzirão a complexidade ou evitarão novos bloqueios e pesadelos de recuperação.

Escopo da discussão

  • O tópico rapidamente se amplia de “inferno sem senha” para: crime e “maus atores”, proliferação de 2FA, timeouts de sessão, passkeys/biometria, chaves de hardware e preocupações com usabilidade/acessibilidade.
  • Muitos comentários argumentam que o problema central não são as senhas, mas sim como a segurança é acoplada de forma improvisada e implementada de maneira inconsistente.

Crime, “maus atores” e por que “não podemos ter coisas boas”

  • Um grupo culpa ladrões e “maus atores” pela escalada da segurança e da vigilância; alguns chegam a defender punições extremamente severas e exclusão permanente.
  • Outro grupo enfatiza as causas-raiz: pobreza, desigualdade, política social (saúde, drogas, educação) e perda de coesão social.
  • Há discordância sobre dados e exemplos (por exemplo, o estado de bem-estar social da Suécia, apesar da alta criminalidade).
  • O consenso é apenas que alguma proteção é necessária, mas se o foco deve ser punição ou prevenção continua em debate.

Senhas, 2FA e atrito de usabilidade

  • Muitos dizem que usuários comuns escolhem senhas péssimas e se recusam a usar gerenciadores de senhas, forçando sites a adotarem 2FA, códigos SMS e fluxos “sem senha”.
  • Outros argumentam que bancos e plataformas transferem o risco de fraude para os usuários: 2FA e PINs viram desculpas para negar reembolsos.
  • Há forte frustração com fluxos de e-commerce em várias etapas (eBay → PayPal → app do banco → 3DS), magic links que falham por atrasos no e-mail e ativação involuntária de 2FA.
  • Impulsionadores regulatórios (EU PSD2 / Strong Customer Authentication, 3DS) são citados como fontes de atrito.

Sessões, redefinições e valor de segurança

  • Debate sobre durações de sessão muito curtas: alguns as veem como dano inútil à UX com pouco ganho de segurança; outros apontam contextos específicos (saúde, máquinas compartilhadas).
  • Há preocupação de que muitos serviços permitam redefinir senhas/2FA instantaneamente via e-mail, às vezes sem invalidar sessões existentes ou impor períodos de espera.

Passkeys, biometria e chaves de hardware

  • Vários esperavam uma crítica mais profunda às passkeys; em vez disso, elas aparecem sobretudo como “talvez melhores no futuro”, com perguntas em aberto: perda do dispositivo, uso entre dispositivos, lock-in de ecossistema.
  • Biometria:
    • Lado favorável: conveniente, suficientemente segura quando armazenada localmente em enclaves seguros e usada como porta de entrada para segredos fortes.
    • Lado cético: passível de spoofing, não revogável, frequentemente tratada como segurança quando na verdade é conveniência.
  • Chaves de hardware (U2F/WebAuthn) são elogiadas por resistirem a phishing, mas backups, perda do dispositivo, slots limitados de credenciais e sobrecarga de gerenciamento são barreiras reais.

Acessibilidade, usuários mais velhos e bloqueios de conta

  • Fluxos de autenticação complexos e esquemas sem senha (por exemplo, os códigos de e-mail constantes do Notion) são vistos como quase impossíveis para pessoas idosas, usuários com comprometimento cognitivo ou com baixa familiaridade tecnológica.
  • Vários relatos de horror sobre bloqueio de contas por perda de telefone/MFA, códigos de recuperação ou 2FA forçado com caminhos de recuperação fracos (por exemplo, GitHub, Amazon, Google).

Apelos por melhor design e padrões

  • Desejo por:
    • Padrões consistentes e bem definidos para senhas, MFA, recuperação e desafios baseados em risco.
    • Mais autonomia do usuário para escolher o nível de segurança (por exemplo, optar por não usar 2FA em contas de baixo risco).
    • Sessões longas e de baixo atrito para ações de baixo risco, com verificações mais fortes apenas para mudanças de alto risco.