Como as Passkeys são geradas?

Como as Passkeys são geradas?#

As passkeys são geradas usando criptografia assimétrica, onde um par de chaves criptográficas - uma chave pública e uma chave privada - é criado. A chave privada permanece armazenada de forma segura no dispositivo do usuário, enquanto a chave pública é compartilhada com o servidor. Quando um usuário se registra ou faz login, seu dispositivo cria esse par de chaves, que é então usado para autenticar sua identidade de forma segura, sem nunca expor a chave privada.

---

Entendendo a Criptografia Assimétrica em Passkeys#

As passkeys dependem da criptografia assimétrica, um método que usa duas chaves distintas, mas matematicamente ligadas - uma chave pública e uma chave privada. Veja mais de perto o processo:

• Geração do Par de Chaves: Quando um usuário inicia a criação de uma passkey, seu dispositivo gera um par de chaves criptográficas. A chave privada é armazenada de forma segura no dispositivo do usuário (por exemplo, dentro de um enclave seguro em um smartphone), e a chave pública é enviada para o servidor, onde é armazenada.

• Processo de Registro: Durante o registro inicial em um serviço, o dispositivo do usuário cria o par de chaves. A chave privada nunca é compartilhada e permanece protegida no dispositivo. A chave pública, no entanto, é transmitida para o servidor e armazenada junto com a conta do usuário.

• Processo de Autenticação: Quando o usuário tenta fazer login, o servidor envia um desafio para o dispositivo do usuário. O dispositivo usa a chave privada para assinar esse desafio. O servidor então verifica essa assinatura usando a chave pública correspondente, autenticando assim o usuário sem nunca expor sua chave privada.

O Papel da Infraestrutura de Chave Pública (PKI)#

A Infraestrutura de Chave Pública (Infrastructure) (PKI) é fundamental para a segurança das passkeys. A PKI gerencia as chaves públicas e os certificados digitais que as autenticam. A PKI garante que a comunicação entre o dispositivo do usuário e o servidor seja segura, prevenindo ataques man-in-the-middle durante o processo de autenticação.

---

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →