O que é FIDO2?
FIDO2 é o padrão aberto de autenticação sem senha que usa criptografia de chave pública e hardware (token, biometria, smartphone) para login resistente a phishing.
O que significa FIDO2?
FIDO2 é a segunda geração dos padrões da FIDO Alliance, em parceria com o W3C. É composto por dois protocolos complementares: WebAuthn (no browser) e CTAP2 (entre browser e autenticador). O resultado é login sem senha resistente a phishing, usando hardware criptográfico (token físico, smartphone, biometria do dispositivo).
Como FIDO2 funciona?
No registro, o autenticador gera um par de chaves único para aquele site. A chave pública vai ao servidor; a privada nunca sai do hardware. No login, o servidor envia um challenge; o autenticador assina com a chave privada (após validar usuário com biometria ou PIN) e devolve. O servidor valida a assinatura e autentica.
Por que FIDO2 é importante?
Senhas e MFA via SMS são vulneráveis a phishing, SIM swap e man-in-the-middle. FIDO2 elimina essas classes de ataque por design — a chave privada nunca trafega, e a assinatura é específica ao domínio (site falso não consegue obter assinatura válida). É o caminho técnico para passwordless de verdade.
Tipos de autenticadores FIDO2
- Roaming authenticators: tokens USB/NFC (YubiKey, Feitian, SoloKey).
- Platform authenticators: built-in no dispositivo (Windows Hello, Touch ID, Face ID, Android biometric).
- Passkeys: implementação user-friendly de FIDO2 sincronizada via iCloud, Google Password Manager ou outros.
Exemplo prático de FIDO2
Um analista entra no portal corporativo digitando o e-mail. O navegador detecta um autenticador FIDO2 registrado (Windows Hello). O analista valida com a digital — em menos de 2 segundos está logado, sem senha. O ataque de phishing por e-mail clonado falha porque a assinatura é vinculada ao domínio real, não ao falso.
FIDO2 e WebAuthn
WebAuthn é a API JavaScript padronizada pelo W3C que permite ao site solicitar autenticação FIDO2. Todo browser moderno (Chrome, Edge, Firefox, Safari) suporta WebAuthn. O servidor da aplicação (backend) implementa a outra ponta — bibliotecas open source como SimpleWebAuthn facilitam.
Como adotar FIDO2 na empresa?
O caminho começa pela equipe de TI/segurança (admins): tokens YubiKey + política de bloqueio de senha. Em seguida, expande para usuários executivos e finalmente toda a empresa, com Windows Hello / Touch ID como padrão. Plataformas IAM modernas (Entra ID, Okta) suportam FIDO2 nativamente.
.svg)
