Autenticação sem senha

Em resumo

A autenticação sem senha é o conjunto de métodos que permitem provar uma identidade sem que exista um segredo que a pessoa conheça e o sistema armazene. O que substitui a senha é a posse de um dispositivo, uma chave criptográfica ou um traço biométrico comprovado localmente.

O objetivo não é a comodidade, ainda que ela venha junto. É eliminar a classe de ataques que dependem de existir algo que se possa adivinhar, vazar ou pedir por engano.

A senha falha pelo que é, não por como se usa

Antes de substituí-la, convém ter claro o que está sendo substituído, porque nem todos os problemas da senha se resolvem com o mesmo substituto.

• Se reutiliza — a mesma chave se repete entre serviços, e um vazamento em qualquer um deles habilita o credential stuffing contra todos os demais.
• Se entrega — um site de imitação a pede e a pessoa a digita. É o mecanismo do phishing, e nenhuma política de complexidade evita isso.
• Se armazena — o sistema tem que guardar algo que permita validá-la, e esse algo é um alvo permanente.
• Custa operar — a redefinição de senhas é uma carga constante de suporte e, ao mesmo tempo, um dos caminhos preferidos para tomar contas alheias.

A senha não falha por descuido do usuário. Falha porque é um segredo compartilhado, e um segredo compartilhado sempre tem dois lugares de onde escapar.

Eliminar o segredo não é o mesmo que escondê-lo

Sob a mesma etiqueta convivem duas famílias de métodos com propriedades de segurança distintas. É a seção que justifica o termo e que evita comprar uma promessa por outra.

• [Passkeys](/glosario/passkeys) e credenciais [FIDO2](/glosario/fido2) — não há segredo compartilhado. O dispositivo assina um desafio com uma chave privada que nunca é enviada ao site, e a credencial está vinculada ao domínio, então um site de imitação não pode pedi-la.
• Biometria no dispositivo — o traço é comparado localmente e desbloqueia uma chave. Não viaja até o servidor. Quando respalda uma credencial FIDO, pertence à família anterior.
• Magic link — o sistema envia um link de uso único para a caixa de e-mail. Não há senha no login, e o segredo passou a ser o acesso ao e-mail.
• [OTP](/glosario/otp) como único fator — também não há senha, e há um código transcritível que pode ser pedido por engano ou interceptado dependendo do canal.

Os dois últimos eliminam a senha da tela de acesso e conservam um segredo em trânsito. São melhores que uma senha reutilizada e não equivalem a uma credencial criptográfica.

Um fluxo sem senha com recuperação por senha continua tendo senha

É a falha de implementação mais frequente da categoria e não aparece na tela de acesso, que é onde todos olham.

Um produto pode retirar a senha do login e conservá-la na redefinição, no canal de atendimento ou no cadastro de um dispositivo novo. O atacante não discute a porta principal: usa a de serviço. O nível de segurança efetivo do acesso é o do caminho mais fraco que devolve uma conta.

Retirar a senha obriga então a resolver duas coisas que antes ficavam escondidas atrás dela:

• Como se recupera o acesso quando se perde o dispositivo. Sem senha, recuperar o acesso volta a ser uma pergunta de identidade e não de credenciais: é preciso estabelecer de novo que quem pede é o titular.
• Como se cadastra um dispositivo novo, que é o mesmo problema com outro nome.

As duas são verificações de identidade, não fatores de autenticação. E a qualidade com que se resolvem define o valor de todo o esquema, porque a identidade digital que sustenta a conta é o que permite reconhecer o titular quando ele já não tem mais nada para mostrar.