Autenticação FIDO: A Chave para Logins Seguros e Eficientes
As chaves de acesso, também conhecidas como autenticação FIDO, representam uma evolução significativa na forma como acessamos aplicativos e sites. Elas proporcionam maior acessibilidade, segurança robusta e logins mais ágeis em diversos dispositivos, superando a autenticação tradicional por nome de usuário e senha.
Empresas que ainda dependem de sistemas de login baseados em senhas enfrentam vulnerabilidades como tentativas de invasão, violações de dados, ataques de phishing e keyloggers. A abordagem tradicional de senhas, embora tenha sido um avanço inicial em segurança, apresenta limitações consideráveis.
A principal falha é que muitos usuários acabam criando senhas pouco seguras ou reutilizando as mesmas em múltiplas plataformas. Criminosos cibernéticos aproveitam essa fragilidade para adivinhar ou invadir contas com relativa facilidade.
A autenticação multifator (MFA), que adiciona uma camada extra de verificação por meio de mensagens de texto, e-mails ou chamadas telefônicas, foi uma tentativa de mitigar esses problemas. No entanto, essa prática não elimina totalmente o risco, apenas dificulta a ação dos hackers.
Para elevar o nível de segurança e reduzir drasticamente as chances de ataques, surgiu a autenticação FIDO, ou Passkeys. Este artigo explora o que é a autenticação FIDO, seus benefícios para sua empresa e apresenta alguns dos melhores provedores dessa tecnologia.
O que é Autenticação FIDO?
Fast Identity Online (FIDO) é um padrão de segurança de ponta que define especificações robustas para autenticação. Desenvolvido pela FIDO Alliance, seu objetivo é proporcionar autenticação forte tanto no nível do protocolo quanto no cliente.
As senhas FIDO representam uma alternativa eficaz aos logins tradicionais, proporcionando uma experiência mais rápida e segura. As especificações FIDO englobam autenticação multifator e criptografia de chave pública. Diferentemente da autenticação por senha, o FIDO armazena informações, incluindo dados biométricos, diretamente nos dispositivos do usuário, protegendo-os contra ataques.
Com a autenticação FIDO, os desenvolvedores precisam de menos esforço para criar logins seguros para seus clientes. A tecnologia suporta FIDO2, os protocolos Universal Second Factor (U2F) e Universal Authentication Framework (UAF). O UAF permite que o dispositivo do cliente gere um novo par de chaves durante o registro, mantendo uma chave privada e uma chave pública para serviços online.
A autenticação FIDO possibilita um acesso seguro e conveniente a sites e aplicativos por meio de dispositivos como crachás de proximidade, dispositivos USB e tokens físicos. Com o FIDO, não é mais necessário lembrar senhas ou perguntas de segurança.
Como Funciona a Autenticação FIDO?
A autenticação FIDO age como um escudo contra ataques baseados em senhas. Seu funcionamento é simples:
- Registro: Um usuário tenta acessar um serviço online e escolhe a opção de autenticação FIDO no login.
- Geração de Par de Chaves: O dispositivo do usuário gera um par de chaves específico para o dispositivo, conta do usuário e serviço online. A chave privada permanece no dispositivo, enquanto a chave pública é enviada ao serviço online e vinculada à conta do usuário. É importante ressaltar que os dados biométricos e chaves privadas nunca saem do dispositivo do usuário, e toda a comunicação é criptografada.
- Verificação de Identidade: O usuário acessa o serviço online utilizando o método de verificação de identidade. O dispositivo seleciona a chave privada e responde ao desafio do serviço online, provando que possui a chave privada. A resposta é enviada de volta ao serviço, que verifica a autenticação com a chave pública.
Após a verificação, o usuário tem acesso à conta ou às informações desejadas.
Principais Provedores de Autenticação FIDO/Passkeys
Authsignal
O Authsignal oferece uma atualização na segurança do cliente com prompts de senha e autenticação sem senha. Ele proporciona acesso instantâneo a uma UX sem senha, otimizando os fluxos de inscrição e autenticação. Suporta SDKs para facilitar a integração com plataformas CIAM como Cognito e Auth0, além de permitir a personalização com seu logotipo.
O Authsignal simplifica a ativação do SMS One Time Password (SOTP) com integração a Messagebird ou Twilio, e também suporta a autenticação Time One Time Password (TOTP). A plataforma se beneficia de navegadores modernos com biometria integrada e oferece funcionalidades adicionais como regras sem código e uma visão única do cliente.
O preço inicial do serviço é de US$ 0,05 por usuário ativo por mês.
Passage
O Passage oferece uma experiência de login segura e simplificada, com autenticação sem senha facilmente implementada em sites e aplicativos. Permite que os usuários façam login e criem contas com biometria, aumentando o engajamento e reduzindo a ameaça de ataques baseados em credenciais. Elimina a necessidade de redefinições de senha constantes e simplifica o fluxo de autenticação.
A solução é compatível com FIDO2, e oferece SDKs e APIs para integrar facilmente com diversas tecnologias como Vue, Django, Rails e Angular. O Passage oferece migração rápida para novos clientes e o preço inicial é de US$ 0,05 por usuário ativo por mês.
Auth0
O Auth0 permite a transição para um ambiente sem senhas, adotando a tecnologia de autenticação sem senha, oferecendo uma experiência segura e sem atritos para todos os seus usuários. A autenticação sem senha WebAuthn é resistente a ataques, e a biometria WebAuthn otimiza a autenticação multifator (MFA). A plataforma facilita o login para usuários com dispositivos habilitados para biometria, permitindo a autenticação por e-mail e SMS em tablets, desktops e dispositivos móveis.
O Auth0 oferece uma experiência perfeita, segura e sem senhas, com uma versão gratuita para até 7.000 usuários ativos, e fornece opções de login ilimitadas.
Bitwarden
O Bitwarden Passwordless.dev permite a implementação de autenticação sem senha forte em minutos, proporcionando logins seguros para usuários, equipes e clientes. A plataforma torna o fluxo de autenticação rápido e suave, protegendo as empresas contra phishing. Oferece uma estrutura de API para minimizar a complexidade no desenvolvimento de senhas, utilizando padrões de código aberto para criar aplicativos FIDO2 WebAuthn, como impressão digital, reconhecimento facial e Windows Hello.
O Bitwarden Passwordless.dev permite a integração com soluções de autenticação existentes, oferecendo um console de administração centralizado para gerenciar aplicativos, usuários e senhas. A plataforma realiza avaliações de terceiros de sua documentação e processos e fornece código-fonte aberto para garantir a segurança dos dados. A plataforma oferece um plano gratuito para até 10.000 usuários e um plano inicial a partir de US$ 0,05 por usuário/mês.
Yubico
A Yubico é um fornecedor de soluções de segurança que contribui para o protocolo WebAuthn. Oferece SDKs para Android, iOS e desktop, que permitem aos desenvolvedores integrar rapidamente a segurança de hardware em aplicativos e serviços. O YubiHSM2 SDK inclui interfaces e ferramentas para gerenciar o hardware YubiHSM 2 FIPS e YubiHSM 2, além de módulos PKCS#11 e KSP da Microsoft. A Yubico oferece software flexível e de código aberto para integrar autenticação forte.
A Yubico oferece soluções para proteger segredos em servidores, incluindo Java WebAuthn, Yubico Desktop OATH Authenticator, cliente Java OTP e cliente C CTAP. A Yubico permite o acesso antecipado a recursos FIDO2, impulsionando a transição para um mundo sem senhas.
SecureAuth
A SecureAuth, membro da FIDO Alliance e certificada FIDO, oferece dados de login FIDO2 criptografados exclusivos para cada site, nunca armazenados em servidores. O protocolo elimina riscos de phishing, roubo de dados e ataques de repetição, permitindo que usuários desbloqueiem credenciais usando biometria ou chaves de segurança FIDO.
A SecureAuth é escalável, permitindo a ativação do FIDO2 com chamadas de API JavaScript simples em diversas plataformas e navegadores. A implementação do SecureAuth FIDO2 reduz custos através de uma abordagem baseada em padrões, segurança e interoperabilidade, e elimina custos com provisionamento de dispositivos, suporte e redefinições de senha.
Hanko
Hanko introduz uma nova era de logins sem senhas, com foco em segurança e conveniência. As senhas Hanko utilizam criptografia de chave pública, suportam plataformas e dispositivos e simplificam o login sem senhas, tornando-se ideais para verificação e autenticação de e-mail.
A biometria móvel da Hanko traz as chaves de acesso para aplicativos móveis e oferece suporte a chaves de segurança FIDO para segurança adicional. O Hanko combina senhas com autenticação de senha (WebAuthn) para segurança e conveniência, e um código único é usado como fallback. O preço inicial é de US$ 9/mês + US$ 0,01/usuário/mês.
Authgear
O Authgear oferece uma experiência sem senha para seus clientes com senhas FIDO, apoiadas por Microsoft, Google e Apple. A plataforma utiliza os padrões WebAuthn e FIDO, permitindo que os usuários façam login ou se inscrevam sem memorizar ou inserir senhas complexas. Elimina o risco de ataques associados a senhas, e usa biometria para autenticar usuários.
O Authgear aumenta as taxas de conversão de aplicativos, pois os usuários podem fazer login em diversas plataformas digitalizando um código QR, sem necessidade de registro em todos os dispositivos. A plataforma foca em APIs e codificação, e os clientes só precisam integrar o Authgear em seus aplicativos e sites e usar o botão “Log in with Passkeys”.
Conclusão
O FIDO permite que os usuários se autentiquem em serviços online em ambientes desktop e móveis, com conveniência, segurança, privacidade e escalabilidade. A tecnologia suporta diversas tecnologias de autenticação, como biometria, tokens de segurança USB e cartões inteligentes.
Escolha o provedor de autenticação FIDO que melhor se adapta às suas necessidades e mantenha seus dados seguros.
Explore também outras plataformas de autenticação de usuário.