Apple, Google e Microsoft fizeram as passkeys sincronizarem entre dispositivos — e entre plataformas

Em 2022, a senha era a falha de segurança mais bem documentada da internet: credenciais fracas e facilmente adivinháveis contribuíram para mais de 80% das violações de dados, segundo o relatório anual de violações da Verizon citado pelo TechCrunch. A FIDO Alliance e o W3C tinham uma resposta técnica desde 2018 — o WebAuthn, que assina cada site com um par de chaves gerado no dispositivo do usuário, de modo que os servidores não guardam nenhum segredo que valha a pena roubar e as páginas de phishing não obtêm nada. Ainda assim, o login sem senha continuava sendo um nicho para chaves de segurança corporativas.

O obstáculo era logístico, não criptográfico. Uma credencial FIDO vivia em um único dispositivo e precisava ser recadastrada site por site em cada novo celular ou laptop, então uma pessoa comum com três dispositivos jamais se daria ao trabalho. No Dia Mundial da Senha, 5 de maio de 2022, Apple, Google e Microsoft se comprometeram conjuntamente a corrigir exatamente isso dentro de um ano: as passkeys seriam sincronizadas entre os dispositivos do usuário, um celular poderia fazer login em aplicativos de um computador próximo, e tudo funcionaria entre macOS/Safari, Android/Chrome e Windows/Edge — uma passkey do iPhone fazendo login no Chrome em um PC Windows.

Dois meses depois, na WWDC, a Apple levou as passkeys para as versões beta do iOS 16 e do macOS Ventura e até deu um ícone ao recurso. E, em agosto de 2022, o vice-presidente de identidade da Microsoft, Alex Simons, confirmou a terceira peça: as três empresas usariam o substantivo comum "passkey" — não "autenticação FIDO" — para que os usuários comuns encontrassem um único nome, independentemente do dispositivo que tivessem em mãos. Ninguém reivindicou a palavra como marca.

Por que isso funcionou: os três rivais não são donos do padrão FIDO, mas são donos de sua distribuição — sistemas operacionais, navegadores e as nuvens de credenciais já presentes em bilhões de dispositivos. Um compromisso simultâneo entre plataformas transformou um protocolo que estava parado havia quatro anos em um recurso que as pessoas realmente receberiam. A diretora da CISA, Jen Easterly, endossou publicamente a medida como forma de elevar a linha de base da segurança cibernética.

Sincronizar a credencial como uma senha — mantendo-a à prova de phishing

O antigo modelo de implantação do FIDO exigia recadastramento por dispositivo e por site, algo que nenhum consumidor com vários dispositivos faria; a sincronização na nuvem reduziu esse custo a zero, mantendo a resistência ao phishing.

Os três fornecedores de plataforma se comprometeram ao mesmo tempo, de modo que nenhum usuário ficou diante de um silo proprietário sem senha — o problema do silo foi o que matou os esquemas anteriores de fornecedor único.

Concordar com "passkey" como um substantivo comum simples deu ao padrão um único nome voltado ao consumidor; a última milha de um padrão técnico é o vocabulário.

Usar o celular como autenticador itinerante permitiu que laptops mais antigos adotassem o recurso sem comprar chaves de segurança físicas.

Quando um padrão trava, observe o fluxo de cadastro, não a especificação. O protocolo de 2018 estava pronto; o que importava em 2022 era a sincronização, um lançamento conjunto e um nome simples. A distribuição era o fosso.

A Apple demonstrou as passkeys na WWDC 2022 e as lançou nas versões beta do iOS 16 e do macOS Ventura naquele verão; o Google disse que as ferramentas para desenvolvedores Android seriam abertas "perto do fim de 2022"; a Microsoft se comprometeu a permitir o login em contas Microsoft via passkeys de celular "em um futuro próximo". Em agosto de 2022, as três também já haviam convergido para o nome "passkey", e a diretora da CISA chamou o compromisso conjunto de marco para elevar a linha de base de segurança dos Estados Unidos.