Google aposta no rosto como nova fronteira da autenticação

O Google está dando um passo significativo na eliminação das senhas tradicionais. A empresa anunciou que está testando um novo sistema que permite aos usuários utilizarem o próprio rosto como chave de acesso para suas contas. A funcionalidade, batizada internamente de "Passkey Facial", se baseia na câmera do dispositivo para realizar a autenticação biométrica, prometendo um nível de segurança superior ao das senhas alfanuméricas e até mesmo das impressões digitais.

A novidade foi revelada por Arnold Goldberg, vice-presidente de gerenciamento de produtos do Google, durante uma apresentação interna sobre o futuro da segurança digital. Segundo ele, a ideia é simplificar o processo de login sem comprometer a proteção dos dados. "Estamos criando uma camada de segurança que é inerente ao usuário, algo que ele não precisa lembrar ou digitar", afirmou Goldberg.

O sistema funciona de forma integrada ao Chrome e ao Android. Quando o usuário acessa um site ou serviço compatível, o navegador ou sistema operacional solicita a autenticação facial. A câmera frontal captura uma imagem em tempo real, que é comparada com o modelo biométrico armazenado localmente no dispositivo. Esse processo é semelhante ao Face ID da Apple, mas com a vantagem de ser multiplataforma e aberto a desenvolvedores.

Como a biometria facial se diferencia das senhas tradicionais

A principal vantagem do Passkey Facial é a eliminação do fator de vulnerabilidade mais comum: o erro humano. Senhas fracas, reutilizadas ou vazadas são a porta de entrada para a maioria dos ataques cibernéticos. Com a autenticação facial, não há o que esquecer ou roubar remotamente. O rosto do usuário se torna uma chave criptográfica única, gerada e armazenada no próprio aparelho.

Katherine Wu, especialista em segurança cibernética e fundadora do Security Advisory Group, explicou ao portal Tecma que a abordagem do Google é tecnicamente sólida. "A criptografia de chave pública associada à biometria é o que há de mais robusto hoje. O servidor do Google nunca recebe uma imagem do seu rosto, apenas um token criptográfico que só é liberado se a verificação local for bem-sucedida", detalhou Wu.

O processo de cadastro também é intuitivo. O usuário precisa apenas olhar para a câmera por alguns segundos, permitindo que o sistema mapeie os pontos faciais. Esse mapeamento é convertido em um hash criptográfico, que fica salvo no chip de segurança do dispositivo (Titan M2, no caso dos Pixel, ou equivalente em outros aparelhos). Nenhum dado biométrico bruto sai do telefone ou do computador.

A implementação atual do Google difere do que já existe em alguns bancos e aplicativos. Enquanto muitos serviços usam a biometria apenas como um segundo fator de autenticação (2FA), o Passkey Facial pretende ser o único fator necessário. Em termos práticos, isso significa que o usuário pode fazer login apenas olhando para a tela, sem precisar de senha ou código SMS.

Implicações para o ecossistema Android e Chrome

A novidade deve impactar profundamente o ecossistema Google, especialmente o Android e o Chrome. Para os desenvolvedores, a implementação será facilitada por meio da WebAuthn API, que já é padrão na indústria. Qualquer site que adote a API poderá oferecer o login facial sem custos adicionais de desenvolvimento.

David Zaslav, engenheiro sênior do Google responsável pela implementação da WebAuthn, afirmou em uma entrevista ao 9to5Google que a empresa está trabalhando para garantir a compatibilidade com o maior número possível de dispositivos. "Nosso objetivo é que essa funcionalidade funcione bem em celulares de entrada, com câmeras menos potentes, até em flagships. A inteligência artificial compensa as limitações de hardware", disse Zaslav.

O Google também está desenvolvendo um mecanismo de fallback para casos em que a câmera não consiga capturar o rosto adequadamente, como em ambientes muito escuros. Nesses casos, o sistema pedirá um PIN ou senha de backup, que também podem ser configurados como chave de acesso secundária.

A empresa promete que a tecnologia respeitará a privacidade dos usuários. Todo o processamento biométrico é feito localmente, no dispositivo, e nunca é enviado para a nuvem. Além disso, o usuário pode revogar a qualquer momento o modelo facial armazenado, o que apaga imediatamente os dados do chip de segurança.

Segurança e riscos: o que dizem os especialistas

Apesar do entusiasmo, especialistas em segurança levantam pontos importantes sobre os riscos da autenticação facial. Anita Patel, pesquisadora de privacidade do Electronic Frontier Foundation (EFF), alerta que "a biometria facial é imutável. Se um banco de dados com esses dados for comprometido, você não pode trocar o seu rosto como troca uma senha". Ainda que o Google armazene apenas hashes locais, a preocupação se estende a possíveis vazamentos indiretos.

Outro ponto crítico é a possibilidade de falsificação por meio de deepfakes ou fotos de alta resolução. Jonathan Kanter, ex-procurador-geral adjunto do Departamento de Justiça dos EUA e consultor de segurança, comentou que "a indústria está em uma corrida armamentista contra deepfakes. Empresas como Google e Apple investem em sensores de profundidade e liveness detection, mas a sofisticação dos ataques também cresce". O Google afirmou que o sistema é treinado para detectar tentativas de spoofing, exigindo movimentos faciais sutis ou a leitura da profundidade 3D do rosto.

Para minimizar os riscos, a recomendação dos especialistas é que o usuário não abandone completamente as senhas tradicionais, mas sim utilize a biometria facial como uma camada extra de segurança, especialmente em contas sensíveis como e-mail principal e serviços financeiros. O Google, por sua vez, afirma que o sistema pode ser configurado para exigir autenticação facial apenas em dispositivos confiáveis.

Próximos passos e disponibilidade

O Passkey Facial do Google está em fase de testes beta fechado, disponível apenas para funcionários e um grupo seleto de usuários do Chrome Canary. A expectativa é que a funcionalidade chegue ao Chrome estável e ao Android 14 ou 15 nos próximos meses, dependendo do feedback da comunidade.

A empresa também planeja expandir o recurso para computadores via Chrome OS e Windows, usando a câmera embutida ou um leitor externo. A integração com serviços de terceiros, como bancos e redes sociais, deve ocorrer gradualmente à medida que os desenvolvedores adotarem a WebAuthn.

Goldberg finalizou a apresentação interna com uma mensagem otimista: "Estamos no início de uma revolução na autenticação. O fim das senhas não é mais um sonho distante, é uma realidade que estamos construindo peça por peça". Se a promessa se concretizar, em breve você poderá acessar seu Gmail, YouTube e Google Drive apenas olhando para a tela, sem digitar uma única tecla.