As chaves de acesso, conhecidas globalmente como passkeys, surgiram com a promessa de substituir de forma definitiva as vulneráveis palavras-passe tradicionais. A própria Microsoft tem planeada a transição deste método para o padrão nativo das suas contas cloud já a partir do próximo mês de setembro. No entanto, um novo alerta trazido a público no prestigiado evento Black Hat demonstra que a tecnologia não é totalmente infalível.
De acordo com a investigação revelada por Michael Grafnetter, especialista de segurança da SpecterOps, detalhada no boletim de segurança oficial da entidade, foi identificada uma família de vulnerabilidades batizada de "Pass-the-Passkey". O método replica padrões antigos de invasão e consegue contornar a proteção das credenciais sem que os atacantes necessitem de decifrar chaves criptográficas.
A falha encontrada no ecossistema Windows
O estudo focou-se na implementação prática deste sistema de autenticação e descobriu três falhas específicas no ecossistema do Windows 11 e do Microsoft Entra ID. Segundo os dados partilhados, quando o ambiente de configuração do sistema é descuidado, torna-se viável replicar ataques semelhantes ao histórico "Pass-the-Hash", onde dados de login são intercetados e reutilizados diretamente.
No caso detetado, uma das falhas no Windows 11 registava uma cópia integral da chave diretamente no registo de eventos do sistema, enquanto o Entra ID falhava em bloquear a reutilização da mesma credencial. O problema principal foi catalogado sob a designação CVE-2026-34348 e acabou por ser corrigido pela tecnológica no passado dia 14 de julho, tendo a empresa efetuado as alterações do lado dos servidores cloud de forma silenciosa. A vulnerabilidade afeta maioritariamente redes empresariais que dependem do Windows Hello ou de chaves FIDO2, mantendo os utilizadores domésticos em smartphones salvaguardados.
A diferença entre chaves virtuais e chaves físicas
A arquitetura das passkeys divide-se em dois formatos distintos de armazenamento, com impactos diretos no nível de segurança do utilizador:
Chaves na cloud: A variante mais conveniente guarda as credenciais num gestor de palavras-passe ou diretamente nos perfis da Apple, Google ou Microsoft, sincronizando com os restantes dispositivos. Apesar de segura contra ataques de phishing, cria um vetor secundário: caso a conta cloud principal seja invadida, os acessos associados também ficam expostos.
Chaves de hardware (físicas): Armazenadas em pequenos dispositivos USB ou NFC, como as conhecidas YubiKey ou chaves Titan da Google. A chave privada gerada permanece isolada no chip físico e nunca é exportada.
Mesmo no hardware, existem advertências adicionais. Em 2024, o ataque conhecido como EUCLEAK provou em ambiente laboratorial ser possível clonar determinados modelos antigos da YubiKey. Para utilizadores portugueses que pretendam elevar a proteção de contas críticas, a recomendação editorial passa pelo uso de dispositivos físicos certificados adicionais, uma vez que isolam a credencial do ecossistema do computador.
O perigo da porta traseira nas palavras-passe
O erro mais frequente reportado pelos investigadores reside no facto de muitos utilizadores ativarem uma chave de acesso, mas manterem a palavra-passe antiga e fraca ativa como método alternativo de entrada. Nestas condições, o nível de proteção extra da passkey é anulado, mantendo a vulnerabilidade original intacta.
Para garantir a eficácia do sistema, o utilizador deve proceder à configuração da nova credencial física ou digital e guardar os códigos de recuperação gerados num suporte offline seguro ou impresso. Posteriormente, é indispensável desativar por completo o método de palavra-passe tradicional nas opções da plataforma utilizada. Caso o serviço não disponibilize essa desativação, a solução passa por substituir o código antigo por uma sequência longa e aleatória de caracteres, armazenando-a exclusivamente num local isolado.
Nenhum comentário
Seja o primeiro!