Laboratório de passkeys
Cria uma passkey de demonstração real (WebAuthn) e vê, byte a byte, o que o autenticador devolve — e porque é que nada disto funcionaria num domínio-isco.
- 1
criar a passkey
O browser pede ao teu autenticador (Face ID, impressão digital, chave física) uma credencial para esta origem. A chave privada nunca sai do dispositivo.
- 2
abrir a resposta do autenticador
Isto é o authenticatorData real que um servidor receberia — campo a campo:
cria a passkey no passo 1 para veres a dissecação.
- 3
autenticar e verificar a assinatura
Um "servidor" simulado nesta página emite um desafio; o autenticador assina; a assinatura é verificada com WebCrypto — as mesmas contas que um servidor real faria:
Porque é que o phishing falha: A passkey assina a origem que o browser viu, não a que o utilizador julga estar a ver. Num domínio-isco (danielmala.co.login-seguro.xyz) o browser procura credenciais desse domínio, não encontra nenhuma, e o ataque morre antes de existir uma password para roubar. Não há código de 6 dígitos para intercetar, nem hash para partir — a resistência a phishing não é uma promessa, é aritmética.
▲ A passkey criada é real e fica no teu gestor. No fim, apaga-a nas definições de passwords do dispositivo/browser (procura por danielmala.co). Esta página não guarda nada — nem sequer tem onde.
🔒 100% no browser. Nenhum dado é enviado para servidor algum.
← Voltar às ferramentas