Autenticação sem senha: WebAuthn e FIDO2

FIDO2 é o termo abrangente para a especificação de Autenticação na Web do W3C (WebAuthn), combinada com o Protocolo de Cliente para Autenticador 2 (CTAP2) da Aliança FIDO. Juntos, eles definem um sistema completo de autenticação sem senha que usa criptografia de chave pública vinculada à origem da parte confiável.

FIDO2 oferece suporte a duas categorias de autenticadores. Os autenticadores de plataforma são integrados ao dispositivo: Touch ID e Face ID em dispositivos Apple, e Windows Hello no Windows. Os autenticadores itinerantes são dispositivos de hardware externos: YubiKey, Google Titan Key e chaves Feitian. Todos usam criptografia de chave pública e geram declarações de atestação.

Durante o registro do WebAuthn, o autenticador gera um novo par de chaves assimétricas para a parte confiável. A chave pública é enviada ao servidor e armazenada. A chave privada nunca sai do autenticador. Uma declaração de atestação comprova o tipo do autenticador e que a chave foi gerada dentro do hardware do autenticador.

Durante a autenticação WebAuthn, o servidor envia um desafio ao cliente. O autenticador assina o desafio junto com o ID da parte confiável e os dados do cliente, usando a chave privada armazenada. O servidor verifica a assinatura com a chave pública armazenada. Nenhum segredo compartilhado é transmitido em momento algum.

O ID da parte confiável em uma asserção WebAuthn é vinculado criptograficamente à origem (domínio) da página solicitante. Um autenticador se recusará a assinar uma asserção para uma origem diferente daquela com a qual foi registrado. Isso torna o WebAuthn resistente a phishing por construção: um site falso de phishing não pode concluir a autenticação.

As credenciais descobríveis (anteriormente chamadas de chaves residentes) são armazenadas no próprio autenticador e indexadas pelo ID da parte confiável. Isso permite fluxos realmente sem senha: o usuário apresenta seu autenticador, seleciona sua conta entre as credenciais armazenadas no dispositivo e se autentica sem informar um nome de usuário ou uma senha.

WebAuthn distingue entre verificação do usuário (UV) e presença do usuário (UP). A presença do usuário exige apenas que o usuário toque no autenticador. A verificação do usuário exige adicionalmente um PIN ou uma verificação biométrica, comprovando que a pessoa específica está presente. Aplicações de alta segurança devem exigir UV para a autenticação.

CTAP2 define o protocolo entre o cliente (navegador ou OS) e um autenticador itinerante externo por USB, NFC ou BLE. Ele especifica os comandos para criação de credenciais, geração de asserções e gerenciamento do autenticador. CTAP2.1 adiciona recursos como gerenciamento de credenciais e políticas de UV obrigatório.

As chaves de acesso são credenciais WebAuthn descobríveis que são sincronizadas entre os dispositivos do usuário por meio da nuvem criptografada do fornecedor da plataforma (Chaves do iCloud para a Apple, Gerenciador de senhas do Google e Windows Hello para Business). As chaves de acesso oferecem autenticação sem senha com disponibilidade entre dispositivos, combinando segurança com a conveniência que os usuários esperam das senhas.

Um fluxo típico de autenticação com chave de acesso: o usuário visita um site e clica em "Entrar com chave de acesso". O navegador exibe as chaves de acesso disponíveis para o site. O usuário se autentica com biometria (Face ID, Touch ID ou Windows Hello). O navegador assina o desafio e envia a asserção. Todo o fluxo leva alguns segundos, sem a necessidade de informar uma senha.

Senhas tradicionais: suscetíveis a phishing, reutilizáveis e passíveis de quebra em violações de bancos de dados. Códigos OTP (TOTP): suscetíveis a phishing em tempo real. Códigos SMS: vulneráveis à troca do SIM e a phishing. WebAuthn/chaves de acesso: resistentes a phishing por meio da vinculação à origem, sem segredo no lado do servidor para ser roubado, únicas por site e com chaves privadas protegidas por hardware. WebAuthn é o mecanismo de autenticação amplamente implantado mais forte disponível atualmente.

Qual propriedade do WebAuthn o torna fundamentalmente resistente a ataques de phishing, ao contrário de senhas ou códigos TOTP?

FIDO2 combina WebAuthn (W3C) e CTAP2 (Aliança FIDO) para oferecer autenticação sem senha resistente a phishing. Autenticadores de plataforma (Touch ID, Face ID) e autenticadores itinerantes (YubiKey) usam criptografia de chave pública vinculada à origem da parte confiável. As chaves de acesso ampliam esse recurso com sincronização entre dispositivos. WebAuthn oferece atualmente a segurança de autenticação mais forte amplamente disponível.