Passkeys são uma armadilha

Artigo original ↗ Discussão no Hacker News ↗

Passkeys — credenciais de login baseadas em criptografia de chave pública e frequentemente sincronizadas pela Apple, Google ou gerenciadores de senhas — são elogiadas por serem muito mais resistentes a phishing do que senhas e códigos TOTP, além de melhorarem drasticamente a UX do login cotidiano. Críticos, porém, argumentam que os padrões WebAuthn/FIDO subjacentes permitem passkeys “attested” vinculadas a hardware e pilhas de SO específicas, que sites poderiam eventualmente exigir, prendendo os usuários às grandes plataformas e excluindo dispositivos FOSS ou não aprovados. Muitos veem as passkeys convenientes e copiáveis de hoje como um possível cavalo de Troia: seguras e úteis agora, mas com risco real de controle futuro por fornecedores e menor liberdade do usuário se a attestation passar a ser amplamente aplicada.

Benefícios percebidos das passkeys

  • Forte apoio às passkeys como resistentes a phishing: as chaves são vinculadas ao domínio, nunca são transmitidas e bases de dados roubadas do servidor vazam apenas chaves públicas.
  • Muitos as veem como UX dramaticamente melhor do que senhas + TOTP/SMS: “um clique e entra”, sem digitar códigos, sem regras de complexidade de senha, sem reutilização de senhas.
  • Defensores observam que elas são essencialmente autenticação de chave pública “estilo SSH”, embrulhada na UX de navegador/SO, resolvendo problemas que os usuários nunca gerenciarão manualmente.
  • Tokens de hardware (chaves FIDO/U2F, Yubikeys) e passkeys apoiadas por gerenciadores de senhas são elogiados por oferecerem segurança forte e algum controle do usuário.

Principais preocupações: attestation, controle e a ideia de “armadilha”

  • A preocupação central: as especificações WebAuthn/Passkey suportam attestation remota, permitindo que sites exijam credenciais ancoradas em hardware, não exportáveis e aprovadas pela plataforma.
  • Temor de que, quando as passkeys forem amplamente adotadas, grandes sites (especialmente bancos, streaming, redes sociais) “virem a chave” e:
    • Rejeitem passkeys sem attestation ou gerenciadas por software (Bitwarden, KeePassXC etc.).
    • Bloqueiem dispositivos FOSS, ROMs personalizadas, telefones com root/desbloqueio do bootloader e sistemas operacionais não padronizados.
  • Vários veem isso como parte da tendência mais ampla de “trusted computing / secure boot / DRM / attestation de dispositivo”, que reduz o controle do usuário.
  • Outros argumentam que isso é exagerado: attestation é uma tecnologia legada de ambiente corporativo, difícil de operar em escala de consumo e, atualmente, nem é usada ou suportada por algumas grandes plataformas.

Comparações de segurança: TOTP, SMS, senhas, chaves de hardware

  • TOTP:
    • Pró: controlado pelo usuário, portátil, funciona com qualquer cliente, fácil de fazer backup.
    • Contra: fundamentalmente vulnerável a phishing; segredos compartilhados em servidores podem ser exfiltrados; ainda depende de senhas.
  • SMS e OTP por e-mail são amplamente vistos como fracos: SIM swap, interceptação, engenharia social e falsa sensação de segurança.
  • Alguns argumentam que “TOTP é bom o suficiente” e que passkeys principalmente acrescentam complexidade e risco de políticas; outros chamam isso de “o ‘só use senhas melhores’ desta década”.

Preocupações com usabilidade, portabilidade e lock-in

  • Muitas reclamações sobre UX fragmentada: o fluxo de cada site (usuário primeiro vs passkey primeiro, códigos de e-mail extras etc.) difere e pode confundir.
  • As pessoas não gostam de ser forçadas a usar cofres de passkeys da plataforma (Apple/Google/Windows) e de não poder escolher onde uma passkey vive ou exportá-la facilmente.
  • Preocupações com perder o acesso se um telefone for perdido ou se uma conta com um grande fornecedor for bloqueada ou banida.
  • Usuários avançados querem:
    • Múltiplos autenticadores independentes por conta.
    • Backups offline (incluindo cópias em “cofre de metal”).
    • Suporte contínuo a senhas/TOTP ou chaves FIDO como alternativas.

Empresa vs consumidor e o ângulo de política

  • Muitos concordam que attestation e políticas rígidas de hardware são apropriadas para alguns casos empresariais ou de infraestrutura crítica.
  • O debate se concentra em saber se esses mecanismos vão vazar para a autenticação web de consumo geral.
  • Alguns veem isso principalmente como um problema de política (regulação, regras bancárias, incentivos corporativos), não como uma falha única das passkeys.
  • Outros argumentam que padrões que tornam lock-in e attestation fáceis são perigosos por si só, independentemente do uso atual.