Este é o primeiro de uma série de dois artigos sobre chaves físicas de segurança e autenticação em duas etapas.

Nesta primeira parte, vamos entender o que é uma YubiKey, como esse tipo de dispositivo ajuda a proteger contas contra roubo de senhas e ataques de phishing, quais tecnologias estão por trás dessa proteção e em quais situações uma chave física pode ser interessante.

Na segunda parte, vamos colocar o conceito em prática. Em um tutorial passo a passo, mostraremos como utilizar um Raspberry Pi Pico para criar uma chave 2FA DIY, uma espécie de "YubiKey caseira", além de explicar suas possibilidades e as diferenças importantes em relação a uma chave de segurança comercial.

Durante muitos anos, criar uma senha longa e difícil foi considerado suficiente para proteger uma conta na internet. Hoje, porém, sabemos que mesmo uma senha forte pode acabar comprometida por vazamentos de dados, páginas falsas, malware ou golpes de engenharia social.

Por esse motivo, cada vez mais serviços oferecem algum tipo de autenticação em duas etapas, conhecida como 2FA. Nesse modelo, além da senha, o usuário precisa apresentar uma segunda forma de confirmação.

É exatamente nesse cenário que entram as chaves físicas de segurança, como a YubiKey.

O que é uma YubiKey?

A YubiKey é um pequeno dispositivo físico desenvolvido pela Yubico que pode ser conectado ao computador ou utilizado em smartphones, dependendo do modelo e da tecnologia disponível.

Visualmente, ela pode lembrar um pequeno pendrive, mas sua função é completamente diferente. Em vez de armazenar arquivos, ela atua como um dispositivo de autenticação.

Na prática, a chave pode servir como uma confirmação física de que realmente é você tentando acessar determinada conta.

Dependendo do serviço utilizado, depois de informar seu usuário e sua senha, o sistema pode solicitar que você conecte ou aproxime a YubiKey e toque no dispositivo para concluir a autenticação.

Isso significa que conhecer apenas a senha pode não ser suficiente para entrar na conta.

Por que isso aumenta a segurança?

Imagine que um criminoso consiga descobrir a senha do seu e-mail por meio de um vazamento de dados.

Se a conta utilizar apenas usuário e senha, o invasor poderá tentar acessá-la imediatamente.

Com uma chave de segurança configurada como segundo fator, existe uma barreira adicional: o criminoso também precisaria possuir fisicamente a chave registrada naquela conta.

Essa combinação entre algo que você sabe, a senha, e algo que você possui, a chave física, aumenta significativamente a dificuldade de um ataque.

Proteção contra páginas falsas

Uma das principais vantagens das tecnologias modernas utilizadas por chaves de segurança está na proteção contra phishing.

Phishing é o golpe no qual o criminoso cria uma página muito parecida com a de um serviço verdadeiro para convencer a vítima a informar usuário, senha e outros dados.

Códigos temporários enviados por SMS ou gerados por aplicativos autenticadores oferecem uma camada adicional de segurança, mas ainda podem ser digitados pelo próprio usuário em uma página falsa.

Com protocolos modernos como FIDO2 e WebAuthn, utilizados por serviços compatíveis com chaves físicas de segurança, o processo funciona de maneira diferente.

A autenticação é vinculada ao serviço legítimo. Dessa forma, uma página falsa não consegue simplesmente capturar uma informação digitada e reutilizá-la como faria com uma senha ou código tradicional.

Por isso, chaves físicas são consideradas uma das formas mais eficazes de reduzir ataques de phishing contra contas importantes.

Onde uma YubiKey pode ser utilizada?

Muitos serviços populares já oferecem suporte a chaves físicas de segurança.

Elas podem ser utilizadas, por exemplo, na proteção de contas de e-mail, serviços de nuvem, redes sociais, plataformas corporativas e diversos sistemas profissionais.

Também são particularmente interessantes para administradores de servidores, profissionais de tecnologia, empresas e pessoas que possuem acesso a informações importantes.

O suporte e o método de configuração podem variar de um serviço para outro, por isso é importante verificar as opções de segurança disponíveis em cada conta.

YubiKey substitui a senha?

Nem sempre.

Em muitos casos, a YubiKey funciona como um segundo fator de autenticação. Você continua utilizando sua senha normalmente e utiliza a chave física para confirmar o acesso.

Entretanto, tecnologias mais recentes, como FIDO2 e passkeys, permitem que determinados serviços utilizem métodos de autenticação nos quais a dependência das senhas tradicionais pode ser reduzida ou até eliminada.

Tudo depende da implementação realizada pelo serviço utilizado.

E se eu perder a YubiKey?

Essa é provavelmente uma das primeiras perguntas de quem começa a utilizar uma chave de segurança.

Perder a chave não significa automaticamente perder sua conta, desde que você tenha preparado métodos de recuperação anteriormente.

Uma prática bastante recomendada é registrar duas chaves de segurança na mesma conta.

Uma delas pode permanecer com você e outra pode ficar guardada em um local seguro como chave reserva.

Além disso, alguns serviços fornecem códigos de recuperação ou permitem cadastrar outros métodos de acesso emergencial.

O ponto mais importante é configurar essas alternativas antes que algum problema aconteça.

Uma camada adicional, não uma solução mágica

Apesar de oferecer excelente proteção, uma YubiKey não resolve todos os problemas de segurança.

Ainda é importante utilizar senhas exclusivas, manter computadores e smartphones atualizados, desconfiar de links suspeitos e proteger adequadamente os dispositivos utilizados para acessar suas contas.

Uma chave física também não impede que informações sejam roubadas caso o próprio computador esteja completamente comprometido por determinados tipos de malware.

Segurança digital funciona melhor quando várias camadas de proteção são utilizadas em conjunto.

Para quem vale a pena?

Praticamente qualquer pessoa que queira aumentar a segurança de suas contas pode se beneficiar de uma chave física.

Entretanto, ela se torna especialmente interessante para quem administra empresas, servidores, domínios, contas de e-mail importantes, serviços financeiros ou ambientes que concentram informações sensíveis.

Também pode fazer bastante sentido proteger primeiro a conta de e-mail principal, já que ela normalmente é utilizada para recuperar senhas de diversos outros serviços.

Conclusão

As senhas continuam fazendo parte da nossa rotina digital, mas depender exclusivamente delas já não representa a melhor estratégia de segurança.

Uma chave física como a YubiKey adiciona uma barreira que não pode ser simplesmente descoberta em um vazamento de banco de dados ou copiada de uma senha anotada.

Quando utilizada com serviços compatíveis com FIDO2 e WebAuthn, ela também oferece uma proteção especialmente interessante contra ataques de phishing.

Existe, porém, outro lado interessante dessa tecnologia.

Além das soluções comerciais, é possível estudar o funcionamento da autenticação por hardware e construir projetos experimentais utilizando componentes acessíveis.

No próximo artigo desta série, vamos partir exatamente desse conceito: mostraremos como criar uma espécie de "YubiKey caseira" utilizando um Raspberry Pi Pico como chave de autenticação 2FA.

Além de ser um projeto interessante para quem gosta de tecnologia, será uma ótima oportunidade para entender, na prática, como uma chave física de segurança funciona e quais são as diferenças entre uma solução DIY e um dispositivo comercial desenvolvido especificamente para essa finalidade.

Leia também

Confira outros conteúdos do acervo da Valente Soluções sobre segurança digital, acessos e prevenção a ameaças.

• O fim das senhas no gov.br e nos smartphones
• Golpe no WhatsApp invade PCs com Windows
• A Anatel quer cuidar da cibersegurança do Brasil. Isso é uma boa ideia?

Consultoria em segurança digital

A Valente Soluções ajuda empresas a avaliar práticas de segurança digital, proteção de contas e adoção de tecnologias adequadas à sua operação. Para entender como podemos apoiar sua empresa, fale conosco.

Nota: Todas as imagens utilizadas neste artigo foram geradas com o auxílio de inteligência artificial por meio do ChatGPT 5.6 e Nano Banana 2, com o objetivo de ilustrar o conteúdo de forma didática e acessível aos nossos leitores.