Protocolo (CXP) e Formato (CXF) de Troca de Credenciais

As passkeys estão rapidamente a tornar-se o padrão de ouro na autenticação online - oferecendo uma alternativa segura e resistente a phishing às passwords tradicionais. Apoiadas pela FIDO Alliance, as passkeys baseiam-se nos padrões WebAuthn e FIDO2 e utilizam criptografia de chave pública para eliminar os riscos de roubo de credenciais.

Mas à medida que a adoção acelera, surgiu um desafio fundamental: Como importar ou exportar passkeys entre diferentes provedores - por exemplo, do Bitwarden para o 1Password ou do iCloud Keychain da Apple para o Google Password Manager?

Ao contrário das passwords, as passkeys não têm um formato que possa ser facilmente exportado ou importado. Esta falta de interoperabilidade cria atrito para os utilizadores e aumenta o risco de dependência de um fornecedor (vendor lock-in).

É aqui que entram dois novos padrões:

• O Protocolo de Troca de Credenciais (CXP): define um mecanismo seguro para transferir passkeys entre provedores.

• O Formato de Troca de Credenciais (CXF): define um formato de dados padronizado para as próprias credenciais, como passkeys, detalhes de cartões de crédito ou códigos TOTP.

Juntos, o CXP e o CXF foram concebidos para tornar a portabilidade das passkeys não só possível, mas também segura, flexível e fácil de usar. Neste artigo, vamos responder às seguintes perguntas:

1. O que é o Protocolo de Troca de Credenciais (CXP) e como funciona?

2. O que é o Formato de Troca de Credenciais (CXF) e qual a sua aparência?

3. Qual é o estado atual de desenvolvimento do Protocolo de Troca de Credenciais e do Formato de Troca de Credenciais?

À medida que mais utilizadores e organizações adotam passkeys, um desafio crítico permanece: mover credenciais entre plataformas. Ao contrário das passwords, que podem ser exportadas como simples ficheiros de texto ou CSV (por mais inseguro que isso seja), as passkeys baseiam-se em pares de chaves criptográficas. Isso torna a importação/exportação muito mais complexa e muito mais sensível.

Eis o que está atualmente quebrado na migração de passkeys:

• Sem Formato Padrão: Ao contrário dos CSVs para passwords, as passkeys não têm uma representação universal. Cada provedor armazena-as de forma diferente.

• Transferências Inseguras: Em algumas raras tentativas de suportar migrações, as credenciais foram exportadas em formatos não encriptados, criando sérios riscos de segurança (veja esta discussão no GitHub).

• Falhas na Migração: Sem uma estrutura consistente, a migração de passkeys entre provedores pode falhar, causando a perda de credenciais ou forçando os utilizadores a recriar as passkeys.

• Bloqueado por Políticas: Ambientes empresariais podem desativar completamente a exportação de credenciais, temendo transferências inseguras ou problemas de compatibilidade.

• Dependência de Fornecedor (Vendor Lock-In): Sem formas fiáveis de exportar passkeys, os utilizadores ficam presos ao seu provedor atual - algo que prejudica a liberdade do utilizador e a concorrência.

Este problema não é hipotético, está a acontecer agora. À medida que as pessoas usam múltiplos dispositivos, navegadores e aplicações para gerir passkeys, a necessidade de importar passkeys de um ecossistema e exportar passkeys para outro torna-se urgente.

É por isso que grandes players como 1Password, Dashlane, Bitwarden e NordPass se uniram no início de 2023 para prototipar uma solução. O resultado: um esforço colaborativo para definir padrões abertos para a troca segura de credenciais - o Protocolo de Troca de Credenciais (CXP) e o Formato de Troca de Credenciais (CXF).

Para enfrentar os desafios da migração de passkeys, surgiram dois padrões complementares: o Protocolo de Troca de Credenciais (CXP) e o Formato de Troca de Credenciais (CXF). Apoiadas por líderes da indústria, incluindo Apple, Google, Microsoft e 1Password, estas especificações visam tornar a importação e exportação de passkeys segura, padronizada e interoperável.

O Protocolo de Troca de Credenciais (CXP) é uma especificação que define um método seguro para transferir credenciais entre dois provedores de credenciais / passkeys. Atualmente um Rascunho de Trabalho (Working Draft) na FIDO Alliance, o seu design ainda está a evoluir, mas visa estabelecer um canal padronizado e seguro para exportar credenciais de um Remetente (Sender) e importá-las para um Destinatário (Recipient).

Embora os detalhes ainda não sejam finais, espera-se que o protocolo use Encriptação de Chave Pública Híbrida (HPKE) para garantir que as credenciais sejam encriptadas de ponta a ponta durante o trânsito. Esta base criptográfica robusta protegerá os dados sensíveis de serem intercetados ou adulterados.

Prevê-se que o CXP seja particularmente importante para provedores de terceiros, como gestores de passwords, para facilitar a troca de credenciais entre diferentes plataformas, por exemplo, entre extensões de navegador. Nestes cenários, a necessidade de um protocolo de transporte padronizado e altamente seguro é crítica. Como ainda está numa fase inicial de rascunho, a sua forma final e o cronograma para a padronização são incertos, com estimativas a apontar para o início de 2026.

O Formato de Troca de Credenciais (CXF) define como as próprias credenciais são estruturadas para a troca. Atualmente, está no estado de Rascunho para Revisão (Review Draft), o que significa que está perto de ser finalizado como um padrão.

Ao contrário do CXP, que lida com a transferência segura, o CXF foca-se exclusivamente no formato dos dados. Ele especifica uma estrutura padrão baseada em JSON para diferentes tipos de credenciais, garantindo que uma credencial exportada de um provedor possa ser corretamente entendida por outro.

O CXF define tipos para:

• Passkeys (public-key-credential)
• Passwords (password)
• Segredos TOTP (totp)
• Notas (note)

Este vocabulário padronizado é a chave para a interoperabilidade. Por exemplo, tanto a Apple como a Google já usam o CXF para transferir credenciais entre aplicações nativas no mesmo dispositivo. Como a transferência ocorre localmente, um protocolo de transporte dedicado como o CXP não é necessário.

Ao padronizar a estrutura, o CXF elimina problemas como incompatibilidades de formato ou perda parcial de dados durante as migrações. Também é extensível por design, permitindo que novos tipos de credenciais sejam adicionados em versões futuras sem quebrar a compatibilidade com versões anteriores.

No final de 2024, tanto o Protocolo de Troca de Credenciais (CXP) como o Formato de Troca de Credenciais (CXF) atingiram diferentes estágios de maturidade, com um forte impulso da indústria por trás deles.

O desenvolvimento do CXP e do CXF está a ser coordenado através da FIDO Alliance, com contribuições ativas de grandes players como Apple, Google, Microsoft, 1Password, Bitwarden e Dashlane.

Esta ampla colaboração sinaliza um compromisso partilhado para tornar a portabilidade de passkeys uma realidade. De facto, várias empresas já estão a implementar soluções baseadas nos rascunhos:

• Apple e Google usarão o CXF para transferências de credenciais entre aplicações no mesmo dispositivo.
• Gestores de passwords de terceiros estão a construir protótipos baseados nos rascunhos iniciais do CXP para se prepararem para trocas seguras entre plataformas.

As duas especificações estão em cronogramas diferentes:

• O Formato de Troca de Credenciais (CXF) está em Rascunho para Revisão (Review Draft). Espera-se que seja finalizado como um padrão formal antes do final de 2024.
• O Protocolo de Troca de Credenciais (CXP) é um Rascunho de Trabalho (Working Draft). O seu caminho para a padronização é mais longo, com um possível lançamento no início de 2026, à medida que o feedback da comunidade é integrado para garantir que seja robusto e seguro para casos de uso entre plataformas.

As especificações preliminares estão disponíveis publicamente no site da FIDO Alliance, e o feedback dos developers está a ser ativamente incentivado para refiná-las antes da finalização.

Para apoiar a experimentação inicial e o planeamento da implementação, o ecossistema de passkeys agora inclui:

• Passkeys Debugger: Uma plataforma que ajuda a depurar pedidos WebAuthn de forma compreensível.

• Comunidade Passkey: Uma comunidade de developers de software e gestores de produto a discutir questões relacionadas com passkeys.

• Subreddit de Passkeys: Subreddit dedicado a discutir notícias sobre passkeys e WebAuthn, incluindo sobre CXP e CXF.

• passkeys.eu: Ferramentas de teste para developers validarem fluxos WebAuthn e o comportamento das passkeys

• Rascunho do CXP no GitHub: Estrutura completa das mensagens do protocolo e fluxo criptográfico

• Rascunho do CXF no GitHub: Layout do ficheiro ZIP e formato de empacotamento de credenciais

Embora ainda não totalmente padronizados, o CXP e o CXF estão claramente a caminho de se tornarem a peça final que faltava no puzzle das passkeys - permitindo a importação/exportação segura e transparente para utilizadores e organizações.

O Protocolo de Troca de Credenciais (CXP) e o Formato de Troca de Credenciais (CXF) nasceram da necessidade de tornar a importação e exportação de passkeys segura e transparente. Mas o seu potencial não fica por aqui.

Estes padrões estabelecem um modelo para transferir qualquer credencial sensível entre provedores - de forma segura, fiável e entre plataformas. Isso abre a porta para casos de uso mais amplos em identidade, autenticação e até mesmo credenciais emitidas pelo governo.

Uma das maiores preocupações com a atual adoção de passkeys é a dependência de fornecedor (vendor lock-in). Sem uma forma de mover credenciais de forma segura, os utilizadores ficam muitas vezes presos ao seu provedor original - mesmo que as suas necessidades mudem.

Com o CXP e o CXF, caminhamos para um ecossistema de passkeys verdadeiramente interoperável, onde utilizadores e empresas podem:

• Migrar passkeys livremente entre provedores

• Evitar a criação de credenciais duplicadas

• Simplificar as transições de dispositivos e plataformas

Isto apoia diretamente a escolha do consumidor, promove a concorrência e fortalece a confiança no modelo de passkeys.

Como disse Christiaan Brand, Gestor de Produto do Grupo de Identidade e Segurança na Google:

“No futuro, isto poderá aplicar-se a cartas de condução móveis, passaportes — quaisquer segredos que queira exportar de um lugar e importar para outro sistema.”

Imagine transferir de forma segura:

• Passkeys (public-key-credential)

• Segredos TOTP (totp)

• Detalhes de pagamento (credit-card)

• Identificações governamentais (identity-document)

tudo através do mesmo mecanismo de troca padronizado. É este o futuro que o CXP e o CXF estão a ajudar a moldar.

Com a troca de credenciais verificáveis encriptadas a tornar-se a norma, as organizações poderão finalmente abandonar as exportações inseguras em CSV, evitar processos manuais propensos a erros e impor políticas de prioridade à encriptação (encryption-first) para todo o manuseamento de credenciais.

Seja no espaço do consumidor, na TI empresarial ou nos sistemas de identidade do setor público, esta mudança eleva o nível de segurança padrão - sem comprometer a usabilidade.

O Protocolo de Troca de Credenciais (CXP) e o Formato de Troca de Credenciais (CXF) representam uma evolução crítica no ecossistema de passkeys. Ao abordar lacunas de longa data na migração de credenciais, eles oferecem uma estrutura segura e padronizada para importar e exportar passkeys entre diferentes plataformas e provedores. Enquanto o CXF padroniza "o quê" (o formato dos dados) e o CXP padroniza "como" (a transferência segura), juntos eles abrem caminho para a verdadeira portabilidade das passkeys.

Com um amplo apoio dos líderes da indústria e um impulso crescente na comunidade FIDO, estas especificações estão preparadas para remover uma das últimas grandes barreiras à adoção de passkeys: a portabilidade.

Para os developers e organizações que hoje constroem sistemas baseados em passkeys, manter-se a par do CXP e do CXF não é apenas uma questão de preparação para o futuro - é sobre permitir melhores experiências de utilizador, segurança mais robusta e maior flexibilidade.

Na Corbado, estamos a acompanhar de perto estes desenvolvimentos e a ajudar as empresas a implementar passkeys em grande escala - sem dependência de fornecedores, dores de cabeça com a migração de utilizadores ou compromissos de segurança. À medida que o ecossistema amadurece, seremos dos primeiros a suportar fluxos baseados em CXP/CXF para tornar a troca segura de credenciais uma realidade.

As passkeys chegaram. O CXP e o CXF vão ajudar a levá-las a todo o lado.