Nos últimos anos, a indústria de tecnologia tem promovido os passkeys como a solução definitiva para o login. Muitas empresas de grande porte, como Google e Microsoft, informam frequentemente aos usuários sobre a facilidade que os passkeys oferecem. Para evitar essas notificações, o usuário precisa optar por configurar um passkey ou se aprofundar nas configurações para encontrar a opção de desativação.

O Google nomeia essa configuração como "Pular a senha quando possível", enquanto a Microsoft sugere que os usuários tornem suas contas sem senha. Embora os passkeys sejam uma ótima tecnologia, seu design os torna ideais para ambientes corporativos, mas problemáticos para a segurança pessoal. Para indivíduos, os riscos mais significativos incluem bloqueio permanente de contas, bans automáticos e perda de dispositivos.

Embora os passkeys eliminem o phishing através do fluxo de login padrão, eles criam uma falsa sensação de segurança. A segurança de uma conta ainda depende do método de recuperação mais fraco, como SMS, links de e-mail e perguntas de segurança. Se esses métodos não estiverem habilitados, o risco de bloqueio permanente permanece.

Os passkeys não podem ser transferidos para chaves de hardware, que devem ser compradas e registradas separadamente para cada site. Isso pode se tornar caro à medida que o número de contas aumenta. As chaves de hardware suportam credenciais descobertas, onde os sites podem consultar seu nome de usuário, mas têm limites de 25 a 100 contas por chave.

Tanto a Apple quanto o Google desejam que sua identidade esteja ancorada em seus sistemas operacionais. O uso de passkeys sincronizados torna-se o caminho mais simples, mas se a conta for banida, o usuário perderá o acesso a todos os passkeys associados a contas de terceiros. A Aliança FIDO está trabalhando para melhorar a interoperabilidade e a exportação de passkeys, mas a situação ainda é fragmentada e inconsistente.

Armazenar passkeys em um gerenciador de senhas como Bitwarden ou KeePassXC pode ser complicado, já que a experiência ainda é fragmentada e carece do polimento que as senhas tradicionais oferecem. Embora se acredite que os passkeys de terceiros sejam o futuro, atualmente a tecnologia não está pronta para ser amplamente adotada.

O cenário ideal para os passkeys é o login em dispositivos próprios, mas a situação se complica ao usar o computador de um colega. As opções disponíveis, como usar uma chave de hardware ou um passkey sincronizado, apresentam suas próprias desvantagens. A última opção, o "Transporte Híbrido", que envolve escanear um QR code e se conectar via Bluetooth, pode falhar na prática devido a problemas de conexão.

Acredito que os usuários corporativos tenham motivos válidos para usar passkeys, mas o ecossistema ainda não está maduro o suficiente para indivíduos. Enquanto os códigos TOTP têm vulnerabilidades conhecidas, os riscos de recuperação e bloqueio dos passkeys representam um risco maior para a maioria das pessoas no dia a dia. Uma combinação de senhas geradas aleatoriamente armazenadas em um gerenciador de senhas de terceiros, juntamente com um aplicativo TOTP independente, oferece mais controle ao usuário sem sacrificar a flexibilidade.