As senhas dominaram o cenário por um bom tempo, mas agora as chaves de segurança de hardware estão voltando com tudo. À medida que os ataques de phishing se tornam mais inteligentes e as violações de senhas continuam no topo da lista de incidentes de cibersegurança, há um interesse renovado na autenticação física.
A última década focou em mover a segurança para a nuvem, mas as tendências atuais de cibersegurança estão trazendo a proteção de volta para as mãos do usuário. O New Tech Tuesdays desta semana analisa como o ressurgimento das chaves de segurança de hardware está tomando forma e as tecnologias de autenticação que estão transformando as soluções de segurança.
Como as Chaves de Segurança de Hardware Estão Mudando a Autenticação
As chaves de segurança de hardware são dispositivos físicos que verificam a identidade quando um usuário faz login, seja como uma credencial única (ex: login sem senha) ou como uma etapa extra na autenticação de múltiplos fatores (MFA). Elas utilizam a criptografia de chave pública, um método que emparelha uma chave privada exclusiva, armazenada com segurança no dispositivo, com uma chave pública correspondente registrada na conta do usuário.
Quando um usuário tenta fazer login, o site ou serviço envia um desafio criptográfico. A chave o assina com sua chave privada — sem nunca expor essa chave privada à internet — e prova que o usuário é quem afirma ser. Essa abordagem torna quase impossível roubar credenciais remotamente, mesmo que um ataque cibernético consiga enganar alguém para visitar uma página de login falsa.
Dois padrões principais permitem que isso funcione: o FIDO2 (Fast IDentity Online 2) e o U2F (Universal 2nd Factor). O FIDO2 e a API WebAuthn relacionada permitem logins sem senha e MFA seguro para navegadores e sistemas operacionais. Enquanto isso, o U2F é o padrão original da FIDO Alliance e ainda é suportado por muitos serviços.
As chaves modernas (Figura 1) podem se conectar via USB-A, USB-C, Lightning ou NFC (Near-Field Communication), sendo compatíveis com desktops, laptops e smartphones.
Tendências que Impulsionam o Ressurgimento
Diversas tendências estão impulsionando o interesse renovado em chaves de segurança de hardware:
- A resistência ao phishing é uma necessidade: A Inteligência Artificial (IA) está se tornando cada vez mais sofisticada, permitindo campanhas de phishing que mimetizam sites e e-mails legítimos com extrema precisão.[1] As chaves de hardware bloqueiam esses ataques ao exigir uma autenticação criptográfica vinculada ao domínio real. Assim, mesmo que um usuário clique em um link malicioso, ele não funcionará.
- As pessoas estão sofrendo com a “fadiga de senhas”: Os usuários possuem tantas contas, cada uma com regras de senha complexas,[2] e essa complexidade crescente está tornando os métodos passwordless (sem senha) atraentes. Uma chave de hardware pode substituir totalmente as senhas em serviços compatíveis, tornando os logins mais rápidos e seguros.
- Há um aumento nas regulamentações: Setores de finanças, saúde e infraestrutura crítica agora exigem autenticação resistente ao phishing para certas contas.[3] As chaves de hardware são uma maneira simples de cumprir esses padrões.
- A segurança corporativa está chegando aos dispositivos de consumo: Smartphones, laptops e todos os dispositivos intermediários agora estão sendo enviados com chips de elemento seguro (secure element).[4] Esses chips possuem o mesmo tipo de tecnologia resistente a violações presente nas chaves de hardware, permitindo uma transição suave para a autenticação física.
Quem Está Usando Chaves de Segurança de Hardware?
Durante anos, empresas de tecnologia e ambientes de alta segurança foram os locais típicos para o uso de chaves de segurança de hardware; no entanto, em 2025, essa prática está se expandindo para outras aplicações.
Por exemplo:
- Jornalistas em regiões de alto risco dependem dessas chaves para proteger e-mails, mensagens e armazenamento contra vigilância ou ataques cibernéticos.[5]
- No setor de saúde, como os registros de pacientes estão sob ameaça constante, hospitais estão fornecendo chaves de hardware aos seus funcionários para evitar ataques de phishing que poderiam comprometer dados sensíveis.[6]
- Investidores estão adotando chaves de hardware para “blindar” suas contas; assim, se um invasor roubar as credenciais, não conseguirá concluir um saque sem a posse física da chave.[7]
- Equipes corporativas em trabalho remoto estão, inclusive, sendo obrigadas a utilizar chaves de hardware para acessar Redes Privadas Virtuais (VPN) e sistemas internos, visando reduzir os riscos de violação que acompanham o uso de redes domésticas comprometidas.[8]
Os Novos Produtos para os seus Novos Projetos®
A autenticação resistente a phishing está impulsionando a demanda por produtos que sejam compatíveis com diversos dispositivos, plataformas e ambientes. A chave de segurança USB/NFC da série iShield Key da Swissbit é um dispositivo de autenticação compacto e robusto, projetado para login sem senha e autenticação de múltiplos fatores (MFA).
Ela combina um chip de elemento seguro (secure element) com suporte aos protocolos FIDO2 e U2F para oferecer logins resistentes a phishing em computadores, dispositivos móveis e serviços online. O design de interface dupla permite que a chave se conecte via USB-A ou USB-C em desktops e laptops, ou via NFC para autenticação por aproximação em smartphones e tablets.
Estas chaves de segurança são resistentes a água e poeira, suportam o armazenamento de até 300 passkeys e também podem ser configuradas para funções de cartão inteligente (PIV) e senha de uso único (OTP). Construídas para atender à certificação FIPS 140-3 Nível 3, elas são adequadas tanto para implantações corporativas quanto para necessidades de segurança individuais.
Conclusão
Uma única senha não é suficiente. À medida que as ameaças cibernéticas se tornam mais sofisticadas, as chaves de segurança de hardware representam uma camada de defesa simples, comprovada e eficaz.
Com a crescente adoção por parte de empresas e consumidores, somada ao suporte para padrões como o FIDO2 e elementos seguros integrados, as chaves de hardware estão se tornando a solução preferencial para a autenticação de próxima geração.
Fontes
[1] https://hoxhunt.com/blog/ai-powered-phishing-vs-humans
[2] https://nordpass.com/blog/how-many-passwords-does-average-person-have
[3] https://www.yubico.com/resources/glossary/strong-authentication/
[4] https://www.tropicsquare.com/blogs/what-is-a-secure-element-and-why-should-you-care
[5] https://www.yubico.com/resources/reference-customers/radio-free-europe-radio-liberty-case-study
[6] https://cloudsecurityalliance.org/blog/2023/04/05/mfa-for-hospitals-password-sharing-workstations-and-other-challenges
[7] https://www.xapobank.com/en/blog/introducing-hardware-security-keys-with-xapo
[8] https://www.yubico.com/solutions/secure-hybrid-and-remote-workers
Artigo escrito pela Mouser Electronics e publicado no blog da Mouser Electronics: New Tech Tuesdays: Hardware Security Keys Are Back: Physical Authentication Gains Ground
Traduzido pela Equipe Embarcados. Visite a página da Mouser Electronics no Embarcados
