Pesquise "YubiKey vs passkey" e vai encontrar muitos artigos a escolher um vencedor. A resposta honesta é que a comparação está mal formulada: uma YubiKey é um dos lugares onde uma passkey pode viver. Não são concorrentes. Assim que isso fica claro, a decisão que realmente enfrenta torna-se muito mais fácil de tomar.
Funcionam sobre a mesma norma
Tanto as passkeys como as chaves de segurança de hardware implementam FIDO2/WebAuthn. Isso importa porque a propriedade de segurança que interessa às pessoas vem da norma, e não do plástico.
Uma passkey é uma credencial de chave pública: a metade privada fica consigo, a metade pública fica com o serviço. Não há nenhum segredo partilhado para roubar, por isso uma violação do serviço não expõe nada reutilizável. E a credencial está ligada à origem, o que significa que não se apresenta a um domínio sósia por mais convincente que a página seja. É isso que a torna resistente ao phishing.
Uma YubiKey faz exatamente o mesmo, porque é um autenticador FIDO2. Portanto, quando alguém pergunta qual resiste melhor ao phishing, a resposta correta é que ambas resistem, pelo mesmo mecanismo.
A verdadeira pergunta: onde vive a credencial?
Esta é a decisão que muda mesmo a sua experiência. Uma passkey pode ser guardada em três lugares.
No hardware seguro do seu dispositivo (o secure enclave do telemóvel, o TPM do portátil). Configuração zero, desbloqueada pela biometria que já usa. A credencial fica presa ao ecossistema dessa plataforma.
Num gestor de palavras-passe. O cofre guarda a passkey e acompanha-o entre sistemas operativos, o que elimina por completo o problema do ecossistema.
Numa chave de hardware. A credencial vive num dispositivo que transporta fisicamente e que liga ou aproxima. Funciona em qualquer máquina, incluindo numa que não lhe pertence, e nunca sincroniza para lado nenhum.
Repare que só o terceiro caso envolve uma YubiKey, e é uma escolha de armazenamento e não uma tecnologia diferente.
A desvantagem honesta das passkeys sincronizadas
O atrito é entre ecossistemas. Uma passkey criada no Apple Keychain não sincroniza nativamente com o Google Password Manager nem com uma máquina Windows. Se vive numa só plataforma, nunca vai reparar. Se usa um iPhone com um PC Windows, pode acabar com uma credencial encalhada num sítio a que não consegue chegar, no momento exato em que precisa de iniciar sessão.
Esta é a razão prática pela qual muita gente prefere colocar as passkeys num gestor de palavras-passe multiplataforma: o cofre viaja consigo em vez de viajar com o sistema operativo.
Guarde as suas passkeys num cofre que o acompanhaO Proton Pass guarda e gere passkeys em vários navegadores e plataformas, para que uma credencial criada num dispositivo não fique encalhada noutro.→A desvantagem honesta das chaves de hardware
Nada sincroniza, o que é ao mesmo tempo o objetivo e o custo.
- Tem de a transportar. Sem chave, não há início de sessão.
- Tem de comprar duas. Uma única chave de hardware é um único ponto de falha; perdê-la pode bloqueá-lo fora das contas que protegeu com mais cuidado. Registe uma de reserva e guarde-a em separado.
- Custa dinheiro, ao passo que as passkeys de plataforma são gratuitas.
Em troca, obtém uma credencial que nenhuma conta na nuvem detém, que funciona em qualquer máquina e que não é afetada pelo ecossistema que estiver a usar.
Como escolher
- Fica dentro de um só ecossistema e não quer esforço nenhum. Use o armazenamento integrado da plataforma. É genuinamente bom, e gratuito.
- Circula entre sistemas operativos. Use um gestor de palavras-passe multiplataforma, para que o cofre viaje em vez de a credencial ficar encalhada.
- Quer a credencial ligada ao dispositivo, ou inicia sessão em máquinas que não lhe pertencem, ou precisa de protocolos adicionais como o cartão inteligente PIV. Use uma chave de hardware como uma YubiKey, e compre uma segunda.
Para a maioria das pessoas, o maior ganho de segurança é simplesmente abandonar os códigos SMS e as palavras-passe reutilizadas e passar para qualquer passkey. A questão do armazenamento conta, mas conta menos do que dar esse primeiro passo.
O essencial
Não há aqui nenhum duelo para resolver. Passkey descreve a credencial; YubiKey descreve um lugar onde a guardar. Ambas derrotam o phishing através da mesma propriedade de ligação à origem no FIDO2/WebAuthn. O que está realmente a escolher é a conveniência sincronizada contra o controlo ligado ao dispositivo, e seja qual for a opção, registe uma segunda credencial para que perder um dispositivo não o deixe de fora.
Explicação baseada no comportamento documentado da norma FIDO2/WebAuthn e nas capacidades de passkey publicadas pelas plataformas, incluindo o suporte multiplataforma a passkeys documentado pelo Proton Pass. Não realizámos testes práticos a dispositivos específicos e não citamos números de benchmark. As ligações comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação, sem custo adicional para si e sem influência nas recomendações.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Um gestor com 2FA e passkeys integrados → NordPassGuarde TOTP e passkeys · XChaCha20 · plano gratuito→Perguntas frequentes
Uma YubiKey é melhor do que uma passkey?
A pergunta não funciona bem, porque uma YubiKey é um dos lugares onde uma passkey pode ser guardada. Ambas assentam na mesma norma FIDO2/WebAuthn e ambas resistem ao phishing porque a credencial está ligada ao endereço real do site. A escolha genuína é onde vive a credencial: numa chave de hardware que transporta consigo, no hardware seguro do telemóvel ou do portátil, ou num gestor de palavras-passe. Essa decisão muda a portabilidade e a recuperação, não a criptografia subjacente.
As passkeys resistem ao phishing tanto como uma chave de hardware?
Sim, para o caso específico do phishing. Ambas estão ligadas à origem, o que significa que a credencial simplesmente não se apresenta num domínio falso, por mais convincente que a página pareça. É essa propriedade que derrota o phishing, e vem da norma FIDO2/WebAuthn e não do hardware. As diferenças entre elas surgem na portabilidade, na recuperação e no controlo, não na resistência a uma página de phishing.
Qual é a verdadeira desvantagem das passkeys sincronizadas?
O atrito entre ecossistemas. Uma passkey criada no Apple Keychain não sincroniza nativamente com o Google Password Manager nem com uma máquina Windows, por isso quem mistura plataformas pode encontrar uma credencial encalhada onde não lhe consegue chegar. Guardar as passkeys num gestor de palavras-passe multiplataforma evita isto, porque o cofre segue-o a si em vez de seguir o sistema operativo.
Devo usar uma chave de hardware, o telemóvel ou um gestor de palavras-passe para as passkeys?
Use uma chave de hardware se quiser a credencial ligada ao dispositivo e transportável para qualquer máquina, incluindo as que não lhe pertencem, ou se também precisar de protocolos como o cartão inteligente PIV. Use o armazenamento integrado do telemóvel ou do portátil se ficar dentro de um só ecossistema e valorizar a configuração zero. Use um gestor de palavras-passe multiplataforma se circular entre sistemas operativos e quiser um único cofre em todo o lado. Seja qual for a opção, registe uma segunda credencial como reserva.
