Pesquisadores identificaram 39 métodos para comprometer a autenticação baseada em passkeys, uma alternativa aos ataques baseados em senhas. Esses métodos abusam de prompts de autenticação, credenciais sincronizadas, inscrição, recuperação e outros limites de confiança sem quebrar a criptografia FIDO2.
Detalhes Técnicos
Phishing e social engineering podem ser usados para obter informações de autenticação.
Abuso de credenciais sincronizadas pode permitir acesso não autorizado.
Problemas durante a inscrição e recuperação de passkeys podem ser explorados.
Ataques de homographs e typosquatting em nomes de domínio podem direcionar usuários a sites mal-intencionados.
Ações Recomendadas
Implementar autenticação multifator.
Educação do usuário sobre phishing e segurança de passkeys.
Monitorar atividades suspeitas de autenticação.
Atualizar regularmente sistemas e software de autenticação.
