Dia 5: Passkeys, FIDO2 e WebAuthn no Microsoft 365

As passwords estão mortas — ou deveriam estar. No quinto dia do curso de Microsoft 365, exploramos como as passkeys, FIDO2 e o standard WebAuthn substituem definitivamente as passwords no ecossistema Microsoft, eliminando o phishing e simplificando a autenticação para utilizadores e administradores.

Neste artigo

1. Introdução às Passkeys e FIDO2

As passkeys representam a maior evolução na autenticação desde a invenção da password. Em vez de um segredo partilhado que pode ser roubado, copiado ou reutilizado, uma passkey é um par criptográfico ligado a um dispositivo específico. A chave privada nunca sai do dispositivo — apenas a chave pública é registada no serviço. Durante a autenticação, o servidor envia um desafio que só o dispositivo legítimo pode responder.

O FIDO2 (Fast IDentity Online) é o conjunto de standards por trás das passkeys. Combina dois componentes: o WebAuthn (standard W3C para autenticação na web) e o CTAP (Client-to-Authenticator Protocol, mantido pela FIDO Alliance). O FIDO2 suporta autenticadores dedicados (security keys como YubiKey), autenticadores de plataforma (Windows Hello, Touch ID, Face ID) e autenticadores roaming que sincronizam entre dispositivos.

ℹ As passkeys são resistentes a phishing por desenho — ao contrário das passwords, não podem ser roubadas num site falso porque a autenticação está ligada ao domínio real.

No Microsoft 365, as passkeys FIDO2 estão disponíveis através do Microsoft Entra ID (anteriormente Azure AD). Um utilizador pode autenticar-se inserindo uma security key USB ou tocando num sensor biométrico do Windows Hello, sem nunca digitar uma password. O Entra ID valida a resposta criptográfica e concede acesso ao Microsoft 365, ao Outlook, ao Teams e a todas as aplicações ligadas.

Vantagens das passkeys sobre passwords

Aspecto Password Passkey FIDO2
Resistência a phishing Vulnerável Imune por desenho
Reutilização Comum e perigosa Impossível — chave única por serviço
Ataque de força bruta Possível offline Criptograficamente inviável
Experiência do utilizador Digitar segredo memorizado Toque biométrico ou PIN local
Custo de suporte Elevado — resets frequentes Baixo — nada para esquecer

2. WebAuthn — O Standard

O WebAuthn (Web Authentication) é a especificação W3C que define como os browsers e plataformas web interagem com autenticadores FIDO2. Publicado como recomendação oficial em 2019, o WebAuthn é suportado por todos os browsers modernos — Chrome, Edge, Firefox e Safari — e constitui a camada de API que as aplicações web usam para registar e verificar credenciais FIDO2.

O fluxo WebAuthn tem duas fases: registo e autenticação. No registo, a aplicação (relying party) pede ao browser que crie uma nova credencial. O browser invoca o autenticador (security key ou Windows Hello), que gera um par de chaves criptográficas. A chave privada fica protegida no autenticador; a chave pública é enviada ao serviço e armazenada. Na autenticação, o serviço envia um desafio aleatório (challenge) que o autenticador assina com a chave privada — provando posse da credencial sem nunca revelar a chave.

Um conceito fundamental do WebAuthn é o RP ID (Relying Party Identifier) — o domínio do serviço. O autenticador só assina desafios para o domínio correcto. Se um utilizador for enganado para um site de phishing com o domínio micr0soft-login.pt, o autenticador recusa-se a assinar porque o RP ID não corresponde a login.microsoftonline.com. É isto que torna as passkeys imunes a phishing.

Tipos de autenticadores WebAuthn

O WebAuthn distingue dois tipos de autenticadores. Os autenticadores de plataforma estão ligados ao dispositivo — Windows Hello (TPM), Touch ID (Secure Enclave), Face ID. São convenientes mas não são portáteis entre dispositivos. Os autenticadores roaming são dispositivos físicos separados — security keys USB/NFC/BLE como YubiKey. São portáteis e podem ser partilhados entre dispositivos (embora não entre utilizadores).

As passkeys sincronizadas (como as do Apple iCloud Keychain ou do Google Password Manager) são uma terceira categoria — autenticadores roaming que sincronizam entre dispositivos do mesmo ecossistema. O Microsoft Entra ID ainda não suporta passkeys sincronizadas nativamente, mas suporta as security keys FIDO2 roaming tradicionais e o Windows Hello como autenticador de plataforma.

3. Configurar FIDO2 no Entra ID

A configuração de FIDO2 no Entra ID envolve três passos: activar o método de autenticação no portal, definir quem pode usar security keys e registar as chaves. O processo é gerido através do Centro de Administração do Entra ID ou via Microsoft Graph PowerShell.

Activar FIDO2 no portal Entra ID

No portal, navegar para Entra ID → Security → Authentication methods → Policies. Seleccionar FIDO2 Security Key e activar o método. Definir o âmbito — Todos os utilizadores ou Utilizadores seleccionados. Se se escolher utilizadores seleccionados, adicionar os grupos ou contas que podem registar security keys.

É possível restringir quais modelos de security key são aceites através de Key Restrictions. Cada modelo de chave tem um AAGUID (Authenticator Attestation GUID) único. Ao activar restrições com EnforcementType = "allow" e listar os AAGUIDs permitidos, apenas chaves certificadas podem ser registadas.

Configuração via PowerShell

A configuração programática usa o módulo Microsoft.Graph.Identity.SignIns. O seguinte script verifica os métodos registados, consulta a política de FIDO2 e configura restrições de AAGUID:

# Verificar métodos de autenticação registados
Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All"
Get-MgUserAuthenticationMethod -UserId "[email protected]"
# Verificar chaves FIDO2 registadas
Get-MgUserAuthenticationFido2Method -UserId "[email protected]"
# Configurar política de FIDO2
$params = @{
    IsUsable = $true
    KeyRestrictions = @{
        IsEnforced = $true
        EnforcementType = "allow"
        AAGuids = @("de1e552d-db1d-4423-a619-566b625cdc84")
    }
}
# Registar YubiKey no Entra ID
# Entra ID -> Security -> Authentication methods -> FIDO2 Security Key
# Utilizador: My Security info -> Add sign-in method -> Security key
# Verificar who pode usar FIDO2
Get-MgPolicyAuthenticationMethodPolicy | Select-Object -ExpandProperty AuthenticationMethodConfigurations
# Remover password — passwordless total
Set-MgUser -UserId "[email protected]" -PasswordProfile @{ForceChangePasswordNextSignIn=$false}

O AAGUID de1e552d-db1d-4423-a619-566b625cdc84 corresponde ao YubiKey 5 Series. Para permitir múltiplos modelos, basta adicionar os AAGUIDs à lista. A política entra em vigor imediatamente — novos registos que não correspondam aos AAGUIDs permitidos são recusados.

Registo pelo utilizador

O utilizador regista a sua security key através do portal My Security info (mysecurityinfo.microsoft.com). Ao adicionar um método de autenticação, selecciona Security key e segue o assistente do Windows: insere a chave USB, toca no sensor, define um PIN para a chave e confirma. A chave fica registada e pode ser usada para sign-in no Microsoft 365, no Windows e em aplicações suportadas.

4. YubiKey e Security Keys

A YubiKey, fabricada pela Yubico, é a security key FIDO2 mais popular em ambientes empresariais. Suporta múltiplos protocolos — FIDO2/WebAuthn, U2F, OTP, Smart Card (PIV) e OpenPGP — numa única chave física. Liga-se por USB-A, USB-C ou NFC, e alguns modelos incluem capacidades biométricas (sensor de toque, não impressão digital).

No contexto do Microsoft 365, a YubiKey funciona como autenticador FIDO2 roaming. O utilizador insere a chave, toca no sensor de contacto dourado e introduz o PIN definido durante o registo. A chave assina o desafio do Entra ID e o acesso é concedido. Não há password envolvida, não há código OTP para copiar, não há notificação push para aprovar.

Modelos de YubiKey recomendados

Modelo Conectividade FIDO2 Biométrico Uso típico
YubiKey 5 NFC USB-A + NFC Sim Toque Desktop + telemóvel
YubiKey 5C NFC USB-C + NFC Sim Toque Portátil moderno
YubiKey Bio USB-A/C Sim Impressão digital Máxima conveniência
YubiKey 5 Nano USB-A Sim Toque Permanente no portátil

Outros fabricantes produzem security keys FIDO2 compatíveis com o Entra ID, incluindo a Google Titan Security Key, a Thetis FIDO2 e a Feitian ePass. Todas as chaves certificadas pela FIDO Alliance funcionam com o Microsoft 365 desde que o AAGUID esteja na lista de permitidos (ou se não houver restrições activadas).

⚠ Sem a security key de backup, um utilizador pode ficar sem acesso. Sempre configurar pelo menos duas chaves por utilizador.

5. Windows Hello como Passkey

O Windows Hello é o autenticador de plataforma nativo do Windows 10 e 11. Usa biometria (reconhecimento facial, impressão digital) ou um PIN local para autenticar o utilizador no dispositivo. Por baixo, o Windows Hello gera chaves FIDO2 protegidas pelo Trusted Platform Module (TPM) do dispositivo — um chip de hardware que armazena chaves criptográficas de forma não extraível.

Quando um utilizador faz sign-in no Microsoft 365 com Windows Hello, o fluxo é o seguinte: o browser ou a aplicação invoca a API WebAuthn; o Windows Hello pede biometria ou PIN; o TPM assina o desafio do Entra ID com a chave privada FIDO2; o Entra ID valida a assinatura e concede acesso. A chave privada nunca sai do TPM — mesmo que o disco seja comprometido, as chaves não podem ser extraídas.

Configurar Windows Hello para Entra ID

O Windows Hello para Negócios (Windows Hello for Business) deve estar activo. Em dispositivos ligados ao Entra ID (Entra ID Joined ou Entra ID Registered), o registo é automático após o primeiro sign-in. O utilizador define o PIN do Windows Hello e, opcionalmente, configura biometria. A partir desse momento, pode usar o Windows Hello para aceder ao Microsoft 365 sem password.

Para dispositivos não ligados ao Entra ID, o utilizador pode registar o Windows Hello através do My Security info, adicionando Windows Hello como método de sign-in. O navegador Edge ou Chrome suporta WebAuthn com Windows Hello nativamente.

TPM vs software

O TPM (Trusted Platform Module) é essencial para a segurança do Windows Hello. Dispositivos sem TPM 2.0 podem usar o Windows Hello em modo software, mas as chaves ficam menos protegidas — potencialmente extraíveis por malware com privilégios suficientes. Todos os dispositivos certificados para Windows 11 incluem TPM 2.0 por exigência. Para ambientes corporativos, a política de conformidade do Intune deve exigir TPM 2.0 como pré-requisito.

6. Recovery e Backup

A maior vantagem das passkeys — estarem ligadas ao dispositivo — é também o maior risco. Se um utilizador perde a security key e não tem backup, fica sem acesso. O recovery de FIDO2 no Entra ID tem três abordagens: chaves de backup, métodos de autenticação alternativos e recuperação administrativa.

Estratégia de chaves de backup

Cada utilizador deve ter pelo menos duas security keys registadas — uma primária e uma de backup. A chave de backup deve ser guardada num local seguro e diferente da primária (ex: cofre de escritório vs gaveta em casa). Se a primária for perdida, o utilizador usa a backup para aceder e registar uma nova chave. Custo por chave: cerca de 50–70 euros para YubiKey 5 Series.

Métodos alternativos de recovery

O Entra ID permite configurar métodos de autenticação de fallback. Mesmo num cenário passwordless, é recomendável manter um método alternativo:

  • Autenticador Microsoft: a aplicação móvel pode funcionar como método passwordless (notificação + número correspondente) ou como segundo factor TOTP.
  • Telefone (SMS/voz): menos seguro mas útil como último recurso. Deve ser combinado com outras medidas.
  • Email de recovery: para reset de password em cenários híbridos onde a password ainda existe.
  • Chave temporária do administrador: o administrador pode emitir um passe de acesso temporário (Temporary Access Pass) para permitir ao utilizador registar um novo método.

Temporary Access Pass (TAP)

O TAP é um código temporário emitido pelo administrador que permite a um utilizador autenticar-se uma vez (ou várias, durante um período limitado) sem password nem security key. É ideal para onboarding de novos funcionários ou recuperação de acesso perdido. O TAP é configurado no portal Entra ID com duração e número de utilizações definidos.

Cenário Solução recomendada Tempo de recuperação
Chave primária perdida, backup disponível Usar backup, registar nova chave 5 minutos
Ambas as chaves perdidas TAP do administrador + novo registo 15–30 minutos
Dispositivo com Windows Hello perdido Autenticador móvel ou TAP 10–20 minutos
Novo funcionário sem chaves TAP + registo inicial 20 minutos

7. Erros Comuns e Lista de Verificação

A implementação de FIDO2 e passkeys no Microsoft 365 tem armadilhas frequentes. Aqui estão os erros mais comuns e como evitá-los, seguidos de uma lista de verificação completa para garantir uma implementação robusta.

Erros frequentes

Problema Causa Solução
Chave não reconhecida no sign-in AAGUID não permitido na política Adicionar AAGUID ou desactivar restrição
Erro “We couldn’t verify your key” Browser não suporta WebAuthn ou falta HTTPS Usar Edge/Chrome actual, confirmar HTTPS
PIN esquecido da security key 3 tentativas falhadas bloqueiam a chave Reset da chave (apaga credenciais) + novo registo
Windows Hello não aparece como opção WHfB não configurado ou sem TPM 2.0 Activar WHfB, verificar TPM no Gestor de Dispositivos
Utilador sem acesso após perda de chave Sem chave de backup nem método alternativo Emitir TAP, configurar métodos de fallback
Sign-in funciona no browser mas não no Outlook Aplicação não suporta FIDO2 directo Usar SSPI ou autenticador temporário; verificar compatibilidade

Lista de verificação de implementação

  • ✓ FIDO2 Security Key activado no Entra ID → Authentication methods
  • ✓ Âmbito definido (todos os utilizadores ou grupos seleccionados)
  • ✓ Key Restrictions configuradas com AAGUIDs dos modelos aprovados
  • ✓ Windows Hello for Business activo nos dispositivos corporativos
  • ✓ TPM 2.0 exigido via política de conformidade do Intune
  • ✓ Dois modelos de security key registados por utilizador (primária + backup)
  • ✓ Autenticador Microsoft configurado como método de fallback
  • ✓ Temporary Access Pass (TAP) activo para recuperação administrativa
  • ✓ Política de Acesso Condicional actualizada para exigir método passwordless em cenários sensíveis
  • ✓ Documentação interna com procedimentos de recovery e contacto do helpdesk
  • ✓ Formação aos utilizadores: como registar a chave, o que fazer se a perder
  • ✓ Inventário de security keys com número de série associado a cada utilizador

Comparação com MFA tradicional

O MFA tradicional combina password com um segundo factor (OTP, SMS ou notificação push). Embora mais seguro que password simples, continua vulnerável a phishing sofisticado — o utilizador pode ser enganado para introduzir a password e o código OTP num site falso. As passkeys FIDO2 eliminam este vector porque a autenticação está criptograficamente ligada ao domínio real.

Característica MFA tradicional Passkey FIDO2
Phishing Vulnerável (password + OTP roubáveis) Imune (RP ID ligado ao domínio)
Password Necessária Eliminada
Segundo factor OTP/SMS/push separado Integrado na posse da chave
SIM swapping Possível com SMS Irrelevante
Fatigue push Possível (MFA fatigue) Inexistente
Passos para autenticar 3–4 (password + código + confirmar) 1–2 (inserir/tocar + PIN)

Artigos relacionados

No próximo dia do curso, exploramos a governança e conformidade no Microsoft 365 — retention policies, sensitivity labels e DLP. As passkeys são a fundação de uma estratégia Zero Trust, mas sem governança de dados, a segurança de acesso não chega para proteger a informação.