Login simples e seguro no Android com o Credential Manager e chaves de acesso

OUT 25, 2023

Diego Zavala Product Manager

Temos o prazer de anunciar que a versão pública do Credential Manager estará disponível a partir de 1º de novembro. O Credential Manager traz o futuro da autenticação para o Android, simplificando a forma como os usuários fazem login em seus apps e sites e, ao mesmo tempo, tornando o login mais seguro.

O processo de login pode ser um desafio, já que as senhas são amplamente utilizadas e esquecidas com frequência. Elas são reutilizadas e são alvos de vários ataques, como os de phishing, que as tornam menos seguras. Além disso, existem inúmeras formas de fazer login em apps, como senhas, links de e-mail, OTP e "Fazer login com...", e os usuários carregam o fardo de memorizar o que usar e onde. E, para os desenvolvedores, isso aumenta a complexidade, pois eles precisam dar suporte a vários métodos de login, o que eleva os custos de integração e manutenção.

Para resolver isso, o Android está lançando o Credential Manager, que traz o suporte a chaves de acesso e uma nova autenticação sem senha, além de métodos tradicionais de login, como senhas e identidade federada, em uma interface unificada.

Vejamos como isso pode facilitar a vida de usuários e desenvolvedores.

1. As chaves de acesso possibilitam a autenticação sem senha

As chaves de acesso são o futuro da autenticação on-line, pois são mais seguras e convenientes do que as senhas. Com uma chave de acesso, fazer login é tão simples quanto selecionar a conta correta e confirmar com a verificação facial, a impressão digital ou o PIN no dispositivo. Não é necessário digitar nomes de usuário ou senhas manualmente, copiar e colar um código único de um SMS nem tocar em um link em uma caixa de entrada de e-mail. Isso fez com que os apps reduzissem o tempo de login em 50% quando as chaves de acesso foram implementadas. Além disso, fazer login com chaves de acesso é mais seguro, pois elas fornecem proteção resistente a phishing.

Vários apps já estão integrados ao Credential Manager e aceitam chaves de acesso, incluindo Uber e WhatsApp.

"As chaves de acesso adicionam mais uma camada de segurança para os usuários do WhatsApp. Simplificar a maneira como os usuários podem acessar suas contas com segurança ajudará nossos usuários, e é por isso que a API Credential Manager é tão importante." – Nitin Gupta, chefe de engenharia do WhatsApp

"Na Uber, trabalhamos sem parar a fim de criar experiências extraordinárias sem afetar a segurança do usuário. As chaves de acesso simplificam a experiência do usuário, promovem a acessibilidade e aumentam a segurança decorrente da redução da dependência de senhas tradicionais. Em última análise, isso é vantajoso para a Uber e para os clientes da Uber. O Credential Manager oferece um pacote de APIs para desenvolvedores que permitem uma integração perfeita aos nossos apps, eliminando preocupações com a fragmentação dos dispositivos. Vimos ótimos resultados ao lançar chaves de acesso em nossos apps e incentivamos todos os usuários a adotá-las." – Ramsin Betyousef, diretor sênior de engenharia da Uber

2. Todas as contas estão disponíveis com um único toque, em uma interface simplificada

Os usuários geralmente acabam usando diferentes métodos de login na mesma conta: eles podem usar uma senha em seu telefone, usar o recurso "Fazer login com..." em um navegador e receber uma chave de acesso em sua área de trabalho. Para simplificar a vida dos usuários, o Credential Manager permite que os usuários escolham a conta que desejam e usem padrões inteligentes para selecionar a melhor tecnologia para o login (por exemplo, chave de acesso, senha ou identidade federada). Dessa forma, os usuários não precisam pensar se desejam fazer login com uma senha ou uma chave de acesso; basta escolher a conta e pronto.

Vejamos como isso funciona. Imagine que Elisa tenha duas contas no app Shrine:

Uma conta pessoal para a qual ela tinha uma senha e acabou de criar uma chave de acesso.
Uma conta familiar compartilhada com apenas uma senha.

Para facilitar a experiência, o Credential Manager mostra as duas contas dela e usa uma senha para a conta familiar e uma chave de acesso para a conta pessoal (porque isso é mais simples e seguro). Elisa não precisa pensar nisso.

3. O Credential Manager é aberto ao ecossistema

Uma das razões pelas quais os usuários preferem o Android é porque eles podem personalizar sua experiência. No caso da autenticação, alguns usuários preferem usar o gerenciador de senhas fornecido com o dispositivo e outros preferem usar um diferente. O Credential Manager oferece aos usuários a capacidade de fazer isso, estando aberto a qualquer provedor de credenciais e permitindo que vários estejam habilitados ao mesmo tempo.

Vários dos principais provedores de credenciais já estão integrados ao Credential Manager.

"Estamos em um ponto de inflexão no histórico da autenticação, pois as chaves de acesso representam o equilíbrio perfeito entre facilidade e segurança. Desde que o 1Password lançou o suporte para chaves de acesso no início deste ano, tivemos mais de 230.000 chaves de acesso criadas, e milhares são adicionadas diariamente. Os dados indicam uma forte demanda dos usuários, mas devemos continuar priorizando o suporte a apps e serviços, tornando mais simples o processo para que os desenvolvedores integrem a autenticação com chave de acesso." – Anna Pobletts, líder de autenticação sem senha do 1Password

"No Enpass, reconhecemos rapidamente o potencial das chaves de acesso. Graças ao framework do Android Credential Manager, o Enpass está totalmente preparado para atender como um provedor de chaves de acesso para o Android 14. Essa integração permite que nossos clientes adotem uma alternativa segura às senhas tradicionais, onde quer que isso estiver disponível." – Vinod Kumar, diretor de tecnologia do Enpass.