Microsoft começa a trocar senhas por passkeys, mas com uma pegadinha

A Microsoft começou maio com o anúncio de sua participação na FIDO Alliance. Como parte desse movimento, a companhia revelou que novos usuários de seus serviços terão contas com chaves de acesso (passkeys) ativadas por padrão no lugar das senhas. É uma medida interessante, mas há um detalhe nas entrelinhas.

Antes, é preciso levarmos em conta que existe um paradoxo ao redor das senhas. Se por um lado elas são um mecanismo de proteção básica de uma infinidade de serviços digitais, por outro lado, elas podem representar um problema de segurança. Isso porque muitas pessoas tendem a criar senhas fracas ou repetir combinações para não ter que decorar um grande número delas.

Se a senha é fraca, pode ser descoberta facilmente. Se é repetida, coloca as contas do usuário sob risco se uma delas sofrer vazamento de dados. É aí que as passkeys passam a ser interessantes.

O que são passkeys?

Passkeys, ou chaves de acesso, são um mecanismo de segurança que permite que o usuário se autentique em serviços online sem ter que usar as tradicionais senhas em cada operação de login.

Para tanto, o sistema de segurança cria uma credencial única e exclusiva no dispositivo do usuário com base no conceito de chaves públicas. Quando essa pessoa precisa acessar um serviço compatível, o mecanismo confirma que o seu dispositivo é seguro e pertence a ela, portanto, pode ter o acesso liberado.

Essa confirmação pode ser feita via autenticação facial, impressão digital ou digitação de PIN, por exemplo. Com isso, não é preciso digitar senha.

É por isso que o anúncio da Microsoft foi recebido com algum entusiasmo. Contas da Microsoft criadas a partir de agora usarão passkeys por padrão para acesso aos serviços da companhia. Esse mecanismo poderá ser combinado com outros recursos de segurança, como autenticação em dois passos.

Quem já tem uma conta da Microsoft, mas não ativou passkeys, pode continuar a acessá-la por meio de senha, mas, eventualmente, algum serviço da Microsoft mostrará uma notificação recomendando que as chaves de acesso sejam ativadas.

Um detalhe que quase passou batido

O anúncio oficial sobre as passkeys não deixa claro que, para esse recurso ser ativado e a senha ser dispensada, o usuário terá que autorizar o procedimento usando o Microsoft Authenticator, disponível para celular Android e iPhone (iOS). Alternativas de terceiros, como Authy e Google Authenticator, são incompatíveis com o recurso.

É o que constatou o Ars Technica. Quando o usuário pede para a senha ser desativada em sua conta, o Microsoft Authenticator exibe uma notificação que, quando acessada, finaliza o procedimento.

Sem essa etapa, as passkeys poderão ser usadas, mas ainda haverá uma senha vinculada à conta (e todos os riscos associados a essa senha). A expectativa é a de que, por fazer parte da FIDO Alliance, a Microsoft torne a ativação do recurso compatível com outras ferramentas em um futuro próximo.

Coincidência ou não, a companhia também anunciou que, em breve, o Microsoft Authenticator deixará de funcionar como gerenciador de senhas. Com isso, a ferramenta fornecerá apenas código para autenticação em dois fatores, bem como facilitará o uso de passkeys.

Microsoft começa a trocar senhas por passkeys, mas com uma pegadinha