Entendo que um dos pontos que os demais colegas estão trazendo à discussão é a visão bem próxima da realidade atual e principalmente de quem trabalha com a administração de ambientes.
A discussão inicial ficou muito focada no mecanismo de autenticação, e os pontos levantados são válidos. No entanto, porém existe um outros aspectos da segurança da informação que também precisa entrar nessa análise.
Na prática, segurança não é baseada em um único mecanismo, mas em um conjunto de controles trabalhando em camadas. Quando um dispositivo já está infectado por malware, por exemplo, o problema deixa de ser apenas “qual método de autenticação é mais seguro” e passa a ser a confiabilidade do próprio endpoint.
Nesse cenário, qualquer aplicação que lide com dados sensíveis pode ser afetada, porque em algum momento essas informações precisam existir em memória para serem utilizadas. Isso não é uma falha específica do Bitwarden, é uma consequência natural de um sistema que já não pode ser considerado confiável.
É justamente por isso que, no mundo real (principalmente em ambientes corporativos), segurança não depende de uma única solução. Existe todo um ecossistema de ferramentas trabalhando em conjunto, como:
Nenhuma dessas soluções é perfeita isoladamente. Todas podem falhar em algum momento, por isso o modelo atual de segurança é baseado em defesa em camadas e análise de comportamento.
Hoje, inclusive, muitos incidentes não são identificados pela quebra do mecanismo de autenticação em si, mas por anomalias de uso, como acessos fora do padrão, movimentação lateral na rede, comportamento suspeito de processos ou tentativas de exfiltração de dados.
Sobre passkeys especificamente, o ponto também é válido: elas utilizam criptografia de chave pública, não são digitadas, não podem ser reutilizadas em outros domínios e são resistentes a phishing. Dispositivos físicos como YubiKey realmente elevam o nível de proteção, mas fazem parte de uma estratégia de segurança em camadas, não de uma solução única.
Outro ponto importante, muito presente na visão de quem administra redes e sistemas, é que segurança não é tratada com a premissa de que um ambiente será 100% seguro. Na prática, trabalha-se assumindo que incidentes eventualmente podem acontecer. Por isso, além da prevenção, existe um foco muito forte em detecção, resposta e mitigação de impactos.
Ou seja, o método de autenticação é uma peça importante, mas dentro de um contexto maior. A segurança real acaba vindo da combinação de controles, monitoramento contínuo e gestão de riscos, que são elementos fundamentais da segurança da informação.
). Agora se um dia for virar investidor de cripto ou tiver uma conta bancária com um investimento alto, nesses casos eu iria de 2FA e até mesmo YubiKey.