Início de sessão resistente a phishing

A passkey só responde ao endereço verdadeiro.

Com passkeys FIDO2 / WebAuthn, cada pessoa confirma a entrada no próprio dispositivo, com biometria ou PIN. O browser só usa a passkey no endereço onde foi criada, por isso uma página falsa não recebe nada que lhe sirva. É o único método do AuthGuard resistente a phishing.

Falar sobre passkeys Ver como funciona

FIDO2 / WebAuthn
Verificação local obrigatória
Biometria fica no dispositivo
Chaves de segurança com PIN

Passkey · início de sessãoexemplo ilustrativo

Duas páginas iguais, dois endereços

https://entrar.exemplo.ptassinadaPasskey encontrada. A assinatura segue para o AuthGuard.
https://entrar-exemplo.pt.acesso-seguro.conadaNenhuma passkey para este endereço. Não há nada para copiar.

Verificação localimpressão digital, rosto ou PIN · fica no dispositivo

Desafio novo
Endereço conferido
Verificação local
Sessão iniciada

Em vídeo

Só o endereço verdadeiro responde.

Locução em inglês, com legendas em português e em inglês. Ecrãs reais do produto; pessoas, organizações e montantes são fictícios.

Como funciona

Uma assinatura para cada entrada.

A passkey é um par de chaves. A chave privada fica no dispositivo da pessoa; o AuthGuard guarda apenas a parte pública.

01 · Desafio
O serviço pede uma prova

Cada tentativa de entrada recebe um desafio novo. Uma resposta antiga não serve para a seguinte.
02 · Endereço
O browser confere o endereço

A passkey está ligada ao endereço onde foi criada. Numa página com outro endereço, o browser nem a oferece.
03 · Verificação local
A pessoa desbloqueia a chave

Impressão digital, rosto, PIN do sistema ou uma chave de segurança com PIN. O AuthGuard exige sempre verificação local.
04 · Sessão
O AuthGuard verifica e abre a sessão

A assinatura é verificada com a chave pública. Com a sessão única ativa, a mesma entrada serve para as aplicações da organização.

Exemplo ilustrativo

Um email falso, uma página igual. E nada acontece.

A Ana recebe um email a pedir que confirme a conta numa página idêntica à da organização, mas noutro endereço. Escreve o email e procura a passkey. O browser não oferece nenhuma: aquele endereço não é o da passkey.

Com palavra-passe e código de seis dígitos, a mesma página podia pedir os dois e usá-los no momento. Com a passkey, a página falsa fica sem nada para reutilizar.

Na prática

Pensado para o dia a dia.

Autenticadores

Use o que a equipa já tem

A biometria ou o PIN do computador, como o Windows Hello
O telemóvel, através do pedido de passkey do browser
Chaves de segurança FIDO2 com PIN
Uma chave sem PIN não é aceite

Registo e recuperação

Prepare a perda de um dispositivo

A primeira passkey é autorizada pela palavra-passe atual
As seguintes pedem uma confirmação forte recente
Recomendamos duas passkeys por pessoa
Códigos de recuperação e ligação por email para criar uma passkey de substituição

Política

Exija a passkey onde importa

A política de acesso pode exigir passkey em aplicações sensíveis ou em todas
Aplicações sensíveis pedem sempre uma nova passkey
Sessões abertas com passkey duram até oito horas
Cada pessoa revê e remove as suas passkeys

O que convém saber

A passkey fica ligada ao endereço onde foi criada. Se a organização passar a usar um domínio próprio, cada pessoa cria uma passkey nesse endereço.
O suporte depende do browser, do sistema operativo e do autenticador. Os testes do produto usam o Chrome: teste os dispositivos da sua organização no piloto.
A aprovação no telemóvel e os códigos de seis dígitos continuam disponíveis, mas não resistem a phishing.
A passkey protege a entrada. Para provar o que foi aprovado numa operação, use a aprovação de ações críticas.

No centro de ajuda

Piloto

Comece por uma aplicação.

Escolha uma aplicação e um grupo-piloto. Revemos consigo os autenticadores, o registo e a recuperação antes de alargar a toda a organização.

geral@authguard.pt