FIDO2 / passkey
O padrão aberto por trás do login sem senha e resistente a phishing. No cadastro, cria-se um par de chaves criptográficas: a chave privada fica no seu dispositivo, a pública é guardada no serviço. A "passkey" é uma credencial FIDO2 amigável ao usuário. Conduzido pela FIDO Alliance.
Mecânica: em vez de um segredo compartilhado (uma senha que os dois lados conhecem e que pode vazar), você prova sua identidade assinando um desafio com a chave privada; o serviço confere com a chave pública. A chave privada nunca sai do dispositivo e é destravada localmente por biometria ou PIN. Resistente a phishing porque a chave é atrelada ao domínio do serviço — um site falso não consegue arrancar de você uma assinatura válida (ao contrário de uma senha, que dá para ser enganado a digitar em qualquer lugar). FIDO2 = WebAuthn (a API do navegador) + CTAP (o protocolo com chaves de segurança). "Passkeys" são credenciais FIDO2 sincronizadas que acompanham você entre dispositivos (via conta iCloud/Google), o que resolveu o velho problema de perder a chave física e ficar trancado do lado de fora. A base técnica do login sem senha. Relacionada a WebAuthn e autenticação sem senha.