Um mundo sem passwords é o desejo da Microsoft, que considera que as paskeys são a principal arma contra o phishing e ataques informáticos. Veja o que muda já no próximo mês.
A partir do próximo dia 1 de setembro, o Microsoft Entra ID vai começar a orientar os utilizadores para o uso de passkeys em vez dos habituais códigos SMS ou chamadas de voz nos sistemas de autenticação multi-fator (MFA na sigla inglesa). Este processo de mudança vai culminar na retirada total desses métodos no dia 1 de fevereiro de 2027.
Segundo a Microsoft, esta mudança decorre da crescente vulnerabilidade dos códigos telefónicos a ataques de phishing e engenharia social, especialmente num contexto em que estas técnicas se tornam mais fáceis de automatizar através da inteligência artificial.
Não perca nenhuma notícia importante da atualidade de tecnologia e acompanhe tudo em tek.sapo.pt
Para muitas organizações que ainda dependem do MFA baseado em telefone, trata-se de uma alteração significativa, que exige compreender o que realmente é um passkey e como funciona a criptografia. Os passkeys substituem o modelo tradicional de “segredo partilhado” das passwords por criptografia de chave pública, eliminando a necessidade de transmitir qualquer segredo durante a autenticação.
Em vez de uma password que o utilizador e o servidor conhecem, existe um par de chaves no processo: uma privada, que nunca abandona o equipamento e uma pública, que é entregue ao serviço durante o registo. O processo de autenticação baseia-se na prova criptográfica de que o utilizador possui a chave privada sem nunca a revelar.
O servidor envia um desafio aleatório, o equipamento assina esse desafio com a chave privada e o servidor valida a assinatura com a chave pública armazenada. Nenhum segredo circula na rede e mesmo que a base de dados do serviço seja comprometida, uma chave pública que seja apanhada por hackers não permite qualquer ataque útil, explica a Microsoft.
O registo de um passkey envolve a criação de um par de chaves específico para cada domínio, gerado dentro de hardware seguro como o TPM, Secure Enclave ou uma YubiKey, garantindo que a chave privada nunca é exportável em texto simples. Esta ligação criptográfica ao domínio impede que um passkey criado para “login.microsoft.com” funcione num domínio fraudulento semelhante, oferecendo resistência nativa ao phishing sem depender da atenção do utilizador. No momento da autenticação, o desbloqueio biométrico ou PIN apenas autoriza o uso local da chave privada, sem nunca ser transmitido ao servidor.
A localização da chave privada é um ponto crítico para a segurança. Os Passkeys vinculados ao equipamento permanecem selados num chip físico e não podem ser movidos, oferecendo o nível mais elevado de garantia e permitindo a identificação de hardware. Já os passkeys sincronizados são mais convenientes, permitindo que a chave privada, devidamente codificada, seja replicada entre dispositivos através de serviços como iCloud Keychain, Google Password Manager ou Microsoft Authenticator.
Investigadores da Unit 42 da Palo Alto Network descobriram três ataques que permitem a malware já instalado no Windows de sequestrar contas, contornar verificações e extrair as chaves privadas das passkeys sincronizadas no Google Password Manager.
Embora o fornecedor da cloud não consiga ler a chave, esta abordagem amplia o perímetro de confiança e não permite a mesma autenticação de hardware, sendo por isso menos adequada para contas de privilégio elevado.
A principal razão para esta migração é a capacidade dos passkeys de bloquear ataques adversary‑in‑the‑middle (AITM), que tornaram obsoletos métodos como os SMS, códigos de aplicações autenticadoras e até aprovações push. Nestes ataques, um proxy malicioso intercepta todo o fluxo de autenticação, capturando passwords, OTPs (passwords usadas uma vez) e cookies de sessão.
Como os passkeys vinculam criptograficamente o desafio ao domínio real, um proxy não consegue obter uma assinatura válida. O navegador simplesmente não apresenta o passkey ou assina para o domínio errado, levando o servidor legítimo a rejeitar a tentativa. Assim, não existe qualquer código ou valor que o atacante possa retransmitir, neutralizando o ataque ao nível do protocolo, salienta a Microsoft.
Apesar disso, os passkeys não eliminam todos os riscos, segundo a empresa. Um equipamento que esteja comprometido ou um navegador malicioso pode manipular o contexto enviado ao autenticador, permitindo que um atacante capture sessões legítimas sem quebrar a criptografia. Ospasskeys sincronizados dependem da segurança da conta cloud onde residem e passkeys vinculados ao equipamento podem ser usados se o hardware for roubado e o método de desbloqueio for comprometido. A migração entre equipamentos também implica desafios práticos, pois a perda de um equipamento sem um autenticador de reserva pode bloquear o acesso.
Durante o período de transição, entre setembro de 2026 e fevereiro de 2027, os sistemas de SMS e voz podem permanecer ativos. Isto pode permitir que ataques AITM tentem forçar um downgrade para métodos mais fracos, caso a organização não imponha políticas de acesso condicionais adequadas. Além disso, a criação de passkeys vinculados ao equipamento através do Windows Hello for Business exige que o mesmo esteja ligado via Entra Joined ou Hybrid Joined, o que limita a adoção em ambientes empresariais onde é aplicado o modelo de BYOD (Bring Your Own Device).
Assine a newsletter do TEK Notícias e receba todos os dias as principais notícias de tecnologia na sua caixa de correio.