As passwords são uma forma de provar a identidade que remonta à antiguidade quando, por exemplo, visitantes tinham de fornecer uma palavra-chave para conseguirem entrar num determinado sítio de acesso restrito. Pouco mudou neste domínio: actualmente, as passwords continuam a ser usadas e são indispensáveis no dia-a-dia. Na verdade, a maioria das pessoas tem a mesma palavra-passe em vários serviços e raramente é complexa; é por isso que, com a crescente onda de ciberataques, os nossos dados estão mais vulneráveis. Recentemente, surgiram alternativas mais seguras, principalmente biométricas, como o reconhecimento de impressões digitais, facial e de voz, mas agora existe um novo recurso que pode ser ainda melhor: as chaves de acesso. Neste tutorial, vamos explicar o que são, por que deve usá-las e como criar uma para a conta Google.
O que é uma passkey?
As chaves de acesso estão a ser implementadas numa série de dispositivos e serviços, incluindo o PayPal e o eBay, embora ainda não exista uma ampla adopção desta tecnologia. Com o tempo, é provável que isso mude, já que as passkeys contam com apoio de Google, Microsoft e Apple.
A tecnologia subjacente às chaves de acesso já existe há anos e uma das formas mais conhecidas são as chaves de segurança. Um dos exemplo mais conhecidos é a YubiKey, uma pequena chave de plástico com um chip que permite armazenar até 25 códigos únicos. Estes códigos podem ser usados para desbloquear um site ou dispositivo, sendo por vezes utilizados em conjunto com uma palavra-passe. Neste caso, a chave é imprescindível para aceder ao que quer que tenha sido bloqueado com recurso à mesma – por exemplo, a sua conta bancária online ou o seu PC.
As passkeys são um pouco diferentes disto, porque a chave em questão não é um dispositivo físico, mas um código que está armazenado num equipamento. Depois, como se trata de software, é possível fazer cópias de segurança e transferi-la para outros dispositivos, o que é muito útil quando se compra um novo telemóvel.
Como funcionam as passkeys?
Se alguma vez configurou a autenticação de dois factores (2FA), já utilizou um sistema semelhante, embora não seja tão seguro. Ao iniciar a sessão numa conta protegida por 2FA, é-lhe normalmente enviado um código por SMS que terá de introduzir para confirmar a sua identidade.
Em teoria, isto deveria ser muito seguro, porque os cibercriminosos teriam de saber a password e ter acesso ao telemóvel, para acederem à sua conta. No entanto, está longe de ser perfeito, já que os hackers encontraram formas de ultrapassar estas barreiras, com clonagem de cartões e falsos operadores de telecomunicações.
Com as chaves de acesso não há códigos enviados por SMS para o telemóvel, por isso esta questão não se coloca. O que acontece é que o código é armazenado num smartphone ou computador, que normalmente é desbloqueado com impressão digital ou reconhecimento facial. Feito isto, esse dispositivo, que contém o código, comunica com o site no qual que o utilizador está a tentar fazer login e confirma a identidade.
E se perder o telemóvel?
Se perder o seu smartphone, a passkey pode ser usada por terceiros, mas a probabilidade de isso acontecer é reduzida, já que é preciso que consiga passar pela autenticação biométrica do telemóvel. Dependendo da sua configuração, não deverá ficar sem acesso às contas, mesmo que fique sem o telemóvel. Como indicámos inicialmente, existe uma diferença entre dispositivos físicos (como a YubiKey) e as chaves de acesso, que têm por base software – não só podem ser guardadas e copiadas, mas também serem sincronizadas entre dispositivos. Assim, se tiver um iPhone e um iPad pode sincronizar as passkeys entre esses equipamentos utilizando o ‘Porta-chaves iCloud’ (saiba mais aqui) e utilizá-las em qualquer um dos dispositivos para autorizar o acesso a sites ou aplicações.
Configurar uma passkey sem smartphone
Se não tiver um telemóvel com funcionalidades biométricas, pode configurar uma passkey no seu computador utilizando o Windows Hello. Esta é uma funcionalidade do sistema operativo da Microsoft que utiliza um PIN, uma impressão digital ou o reconhecimento facial para confirmar a identidade. Se esta funcionalidade estiver disponível no seu computador, basta ir a ‘Iniciar’ > ‘Definições’ > ‘Contas’ > ‘Opções de início de sessão’. De seguida, escolha entre ‘Reconhecimento facial’, ‘Reconhecimento de impressões digitais’ ou ‘PIN’ e seleccione ‘Configurar’.
Depois de fazer isto, pode utilizar este método para iniciar a sessão na sua conta Google ou em qualquer outra para a qual tenha configurado este serviço.
Configurar uma chave de acesso para a conta Google
Agora que já sabe o que são passkeys e como funcionam, está na altura de configurar a sua primeira passkey para iniciar sessão no Gmail, Drive e noutros serviços da Google.
1- Abra uma janela do browser no seu computador (e não no telemóvel) e escreva g.co/passkeys. Inicie sessão na sua conta Google com o e-mail e a palavra-passe.
2- Caso tenha iniciado uma sessão com esta conta num smartphone Android, já tem uma ou mais chaves de acesso configuradas, mas estarão desactivadas. Para começar a usar uma passkey em vez da palavra-passe, para iniciar sessão na sua conta, clique em ‘Utilizar chaves de acesso’. Para configurar uma nova, seleccione ‘Criar chave de acesso’.
3- As chaves de acesso dependem, em grande parte, da segurança biométrica, mas nem todos os dispositivos têm esta funcionalidade. Por exemplo, o computador que estamos a usar para configurar a passkey não tem um leitor de impressões digitais. No entanto, o smartphone tem, por isso vamos usá-lo como dispositivo de chave de acesso. Certifique-se de que o telemóvel e o computador têm o Bluetooth ligado e clique em ‘Utilizar outro dispositivo’. Se o browser lhe perguntar se concorda em revelar informações sobre a sua chave de segurança, indique que sim.
4- Seleccione o dispositivo que quer usar para armazenar a sua chave de acesso. Terá de ser um computador portátil/desktop com Windows 10 ou 11 (ou macOS Ventura), um dispositivo móvel com Android 9 ou superior (ou iOS 16) e o bloqueio de ecrã activo. Também é necessário um browser compatível, como o Chrome 109 ou posterior, Safari 16 ou posterior, ou Edge 109 ou posterior. Se quiser usar uma passkey no seu telemóvel para iniciar sessão noutro computador, também precisa de ter o Bluetooth ligado.
Vamos configurar o telemóvel SM-9XXX, que aparece nesta lista. Se o smartphone não estiver listado, clique em ‘Utilizar um telemóvel ou tablet diferente’.
5- O Google vai enviar uma notificação para o seu telemóvel. Carregue na mesma para iniciar o processo de configuração e confirme que o endereço de e-mail apresentado no ecrã é aquele que quer usar na chave de acesso. Clique em ‘Continuar’, seguido de ‘Use o seu bloqueio de ecrã’ para autorizar esta funcionalidade como chave, para a sua conta. Quando lhe for pedido, toque no sensor de impressões digitais para confirmar a sua identidade; de imediato, aparece uma janela que indica que a passkey foi criada.
6- Para testar a passkey, termine a sessão na sua conta, no computador e entre no Gmail: em vez de pedir a palavra-passe, o sistema tentará utilizar a sua chave de acesso. Clique em ‘Continuar’ e escolha o dispositivo que tem a passkey: vai receber uma notificação no seu telemóvel. Clique na mesma e desbloqueie o telemóvel com a sua impressão digital: o início de sessão no seu computador será concluído.
