{"id":499221,"date":"2026-08-24T21:40:17","date_gmt":"2026-08-24T21:40:17","guid":{"rendered":"https:\/\/www.europesays.com\/pt\/499221\/"},"modified":"2026-08-24T21:40:17","modified_gmt":"2026-08-24T21:40:17","slug":"microsoft-acaba-com-sms-e-troca-o-sistema-de-autenticacao-por-passkeys-veja-o-que-muda-a-1-de-setembro","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/pt\/499221\/","title":{"rendered":"Microsoft acaba com SMS e troca o sistema de autentica\u00e7\u00e3o por passkeys. Veja o que muda a 1 de setembro"},"content":{"rendered":"

Um mundo sem passwords \u00e9 o desejo da Microsoft, que considera que as paskeys s\u00e3o a principal arma contra o phishing e ataques inform\u00e1ticos. Veja o que muda j\u00e1 no pr\u00f3ximo m\u00eas. <\/p>\n

A partir do pr\u00f3ximo dia 1 de setembro, o Microsoft Entra ID vai come\u00e7ar a orientar os utilizadores para o uso de passkeys <\/a>em vez dos habituais c\u00f3digos SMS ou chamadas de voz nos sistemas de autentica\u00e7\u00e3o multi-fator (MFA na sigla inglesa). Este processo de mudan\u00e7a vai culminar na retirada total desses m\u00e9todos no dia 1 de fevereiro de 2027<\/strong>. <\/p>\n

Segundo a Microsoft<\/a>, esta mudan\u00e7a decorre da crescente vulnerabilidade dos c\u00f3digos telef\u00f3nicos a ataques de phishing e engenharia social, especialmente num contexto em que estas t\u00e9cnicas se tornam mais f\u00e1ceis de automatizar atrav\u00e9s da intelig\u00eancia artificial.\u00a0<\/p>\n

N\u00e3o perca nenhuma not\u00edcia importante da atualidade de tecnologia e<\/strong> acompanhe tudo em tek.sapo.pt<\/strong><\/a><\/p>\n

Para muitas organiza\u00e7\u00f5es que ainda dependem do MFA baseado em telefone, trata-se de uma altera\u00e7\u00e3o significativa, que exige compreender o que realmente \u00e9 um passkey e como funciona a criptografia.<\/strong> Os passkeys substituem o modelo tradicional de \u201csegredo partilhado\u201d das passwords por criptografia de chave p\u00fablica, eliminando a necessidade de transmitir qualquer segredo durante a autentica\u00e7\u00e3o.\u00a0<\/p>\n

Em vez de uma password que o utilizador e o servidor conhecem, existe um par de chaves no processo: uma privada, que nunca abandona o equipamento e uma p\u00fablica, que \u00e9 entregue ao servi\u00e7o durante o registo. O processo de autentica\u00e7\u00e3o baseia-se na prova criptogr\u00e1fica de que o utilizador possui a chave privada sem nunca a revelar. <\/strong><\/p>\n

O servidor envia um desafio aleat\u00f3rio, o equipamento assina esse desafio com a chave privada e o servidor valida a assinatura com a chave p\u00fablica armazenada<\/strong>. Nenhum segredo circula na rede e mesmo que a base de dados do servi\u00e7o seja comprometida, uma chave p\u00fablica que seja apanhada por hackers n\u00e3o permite qualquer ataque \u00fatil, explica a Microsoft.\u00a0<\/p>\n

\"\"<\/p>\n

O registo de um passkey envolve a cria\u00e7\u00e3o de um par de chaves espec\u00edfico para cada dom\u00ednio, gerado dentro de hardware seguro como o TPM, Secure Enclave ou uma YubiKey<\/strong>, garantindo que a chave privada nunca \u00e9 export\u00e1vel em texto simples. Esta liga\u00e7\u00e3o criptogr\u00e1fica ao dom\u00ednio impede que um passkey criado para \u201clogin.microsoft.com\u201d funcione num dom\u00ednio fraudulento semelhante, oferecendo resist\u00eancia nativa ao phishing sem depender da aten\u00e7\u00e3o do utilizador. No momento da autentica\u00e7\u00e3o, o desbloqueio biom\u00e9trico ou PIN apenas autoriza o uso local da chave privada, sem nunca ser transmitido ao servidor.<\/p>\n

A localiza\u00e7\u00e3o da chave privada \u00e9 um ponto cr\u00edtico para a seguran\u00e7a. Os Passkeys vinculados ao equipamento permanecem selados num chip f\u00edsico e n\u00e3o podem ser movidos, oferecendo o n\u00edvel mais elevado de garantia e permitindo a identifica\u00e7\u00e3o de hardware<\/strong>. J\u00e1 os passkeys sincronizados s\u00e3o mais convenientes, permitindo que a chave privada, devidamente codificada, seja replicada entre dispositivos atrav\u00e9s de servi\u00e7os como iCloud Keychain, Google Password Manager ou Microsoft Authenticator.\u00a0<\/p>\n


\n \"Ataques
\n <\/a><\/p>\n


\n Ciberseguran\u00e7a
\n Ataques exploram falhas no Chrome para roubar passkeys armazenadas em contas da Google<\/a><\/p>\n

\n Investigadores da Unit 42 da Palo Alto Network descobriram tr\u00eas ataques que permitem a malware j\u00e1 instalado no Windows de sequestrar contas, contornar verifica\u00e7\u00f5es e extrair as chaves privadas das passkeys sincronizadas no Google Password Manager. <\/p>\n

Embora o fornecedor da cloud n\u00e3o consiga ler a chave, esta abordagem amplia o per\u00edmetro de confian\u00e7a<\/strong> e n\u00e3o permite a mesma autentica\u00e7\u00e3o de hardware, sendo por isso menos adequada para contas de privil\u00e9gio elevado.<\/p>\n

A principal raz\u00e3o para esta migra\u00e7\u00e3o \u00e9 a capacidade dos passkeys de bloquear ataques adversary\u2011in\u2011the\u2011middle (AITM), que tornaram obsoletos m\u00e9todos como os SMS, c\u00f3digos de aplica\u00e7\u00f5es autenticadoras e at\u00e9 aprova\u00e7\u00f5es push. Nestes ataques, um proxy malicioso intercepta todo o fluxo de autentica\u00e7\u00e3o, capturando passwords, OTPs (passwords usadas uma vez) e cookies de sess\u00e3o.\u00a0<\/strong><\/p>\n

Como os passkeys vinculam criptograficamente o desafio ao dom\u00ednio real, um proxy n\u00e3o consegue obter uma assinatura v\u00e1lida.<\/strong> O navegador simplesmente n\u00e3o apresenta o passkey ou assina para o dom\u00ednio errado, levando o servidor leg\u00edtimo a rejeitar a tentativa. Assim, n\u00e3o existe qualquer c\u00f3digo ou valor que o atacante possa retransmitir, neutralizando o ataque ao n\u00edvel do protocolo, salienta a Microsoft.<\/p>\n

\"\"<\/p>\n

Apesar disso, os passkeys n\u00e3o eliminam todos os riscos, segundo a empresa. Um equipamento que esteja comprometido ou um navegador malicioso pode manipular o contexto enviado ao autenticador, permitindo que um atacante capture sess\u00f5es leg\u00edtimas sem quebrar a criptografia.<\/strong> Ospasskeys sincronizados dependem da seguran\u00e7a da conta cloud onde residem e passkeys vinculados ao equipamento podem ser usados se o hardware for roubado e o m\u00e9todo de desbloqueio for comprometido. A migra\u00e7\u00e3o entre equipamentos tamb\u00e9m implica desafios pr\u00e1ticos, pois a perda de um equipamento sem um autenticador de reserva pode bloquear o acesso.<\/p>\n

Durante o per\u00edodo de transi\u00e7\u00e3o, entre setembro de 2026 e fevereiro de 2027, os sistemas de SMS e voz podem permanecer ativos.<\/strong> Isto pode permitir que ataques AITM tentem for\u00e7ar um downgrade para m\u00e9todos mais fracos, caso a organiza\u00e7\u00e3o n\u00e3o imponha pol\u00edticas de acesso condicionais adequadas. Al\u00e9m disso, a cria\u00e7\u00e3o de passkeys vinculados ao equipamento atrav\u00e9s do Windows Hello for Business exige que o mesmo esteja ligado via Entra Joined ou Hybrid Joined, o que limita a ado\u00e7\u00e3o em ambientes empresariais onde \u00e9 aplicado o modelo de BYOD (Bring Your Own Device).\u00a0\u00a0<\/p>\n

Assine a<\/strong> newsletter do TEK Not\u00edcias<\/strong><\/a> e receba todos os dias as principais not\u00edcias de tecnologia na sua caixa de correio.<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"Um mundo sem passwords \u00e9 o desejo da Microsoft, que considera que as paskeys s\u00e3o a principal arma…\n","protected":false},"author":2,"featured_media":499222,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[83],"tags":[17376,88,586,89,90,49739,11564,60841,906,15886,32,33,1717],"class_list":["post-499221","post","type-post","status-publish","format-standard","has-post-thumbnail","category-empresas","tag-autenticacao","tag-business","tag-ciberseguranca","tag-economy","tag-empresas","tag-encriptacao","tag-login","tag-mfa","tag-microsoft","tag-passkeys","tag-portugal","tag-pt","tag-seguranca"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@pt\/117152660794180000","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/posts\/499221","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/comments?post=499221"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/posts\/499221\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/media\/499222"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/media?parent=499221"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/categories?post=499221"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/pt\/wp-json\/wp\/v2\/tags?post=499221"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}