💻 computer science

WebAuthn PRF-Based Vault Key Wrapping and Zero-Knowledge PWA Storage Architecture

Este artigo apresenta uma arquitetura de segurança do lado do cliente para cofres de credenciais baseados na web que alcança propriedades de conhecimento zero robustas ao combinar a extensão PRF do WebAuthn com criptografia simétrica e padrões otimizados de armazenamento do navegador.

Autores originais: Ian Pinto

Publicado 2026-07-08✓ Author reviewed ⓘ

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Ian Pinto

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você tem um cofre digital (um "cofre") onde guarda seus segredos mais importantes, como senhas ou notas privadas. Normalmente, para abrir esse cofre, você precisa de uma chave mestra (uma senha). Mas e se você pudesse abri-lo usando seu rosto, sua impressão digital ou uma chave de segurança física? E se, mesmo que um hacker roubasse uma cópia do conteúdo do seu cofre, ele ainda não conseguisse ler uma única palavra dentro sem a sua chave biométrica específica?

Este artigo de Ian Pinto descreve uma nova maneira de construir esse tipo de cofre digital ultra-seguro para navegadores web. Ele combina alguns conceitos de alta tecnologia em um sistema que mantém seus dados em "conhecimento zero" (zero-knowledge) — o que significa que o servidor ou o sistema de armazenamento não sabe nada sobre o que está dentro, nem mesmo a chave para abri-lo.

Aqui está como isso funciona, dividido em partes simples:

1. A Chave Mágica: WebAuthn PRF

Pense na sua passkey (aquela que você usa para fazer login com seu rosto ou impressão digital) não apenas como um porteiro de "Sim/Não", mas como um gerador de receita secreta.

O Jeito Antigo: Você prova que é você, e o sistema diz "Acesso Concedido".
O Novo Jeito (PRF): Quando você prova que é você, seu dispositivo executa secretamente uma receita matemática complexa (chamada de Função Pseudoaleatória ou PRF) usando um "sal" especial (um ingrediente aleatório). Esta receita produz um "molho secreto" único e de alta qualidade (um código de 32 bytes) que apenas o seu dispositivo específico sabe como fazer.
O Detalhe: Este molho secreto é criado dentro do chip seguro do seu dispositivo. Ele nunca sai do dispositivo e nunca é salvo no disco rígido. Ele existe por um breve instante, apenas o tempo suficiente para desbloquear seu cofre, e depois é imediatamente apagado.

2. O Cadeado: Envolvendo a Chave do Cofre

Seu cofre tem uma chave mestra (vamos chamá-la de Chave K) que realmente tranca os dados.

O sistema pega esse molho secreto passageiro da sua passkey e o usa para envolver a Chave K em um envelope digital (criptografia).
Uma vez envolvida, a Chave K é trancada dentro deste envelope. O sistema salva este envelope no armazenamento do seu navegador (IndexedDB).
Ponto Crucial: O sistema nunca salva o molho secreto ou a Chave K não envolvida. Ele apenas salva o envelope trancado. Se um hacker roubar o armazenamento, ele terá apenas uma caixa trancada e sem chave.

3. A Casa do Cofre: Armazenamento IndexedDB

O artigo propõe uma maneira específica de organizar esses dados no armazenamento do navegador (IndexedDB), que é como um arquivo de aço digital.

O Sistema de Arquivos: O sistema cria três pastas específicas:
1. Os Cofres (The Vaults): Onde vivem os envelopes trancados (as chaves envolvidas).
2. As Credenciais (The Credentials): Uma lista de suas passkeys e seus "números de série" (para garantir que ninguém esteja usando uma cópia falsa da sua chave).
3. O Meta (The Meta): Notas gerais para o aplicativo.
Garantia de Conhecimento Zero: O artigo argumenta que, como o armazenamento contém apenas os envelopes trancados e metadados públicos, um ladrão que roube todo o arquivo de aço não pode reconstruir a chave. Eles ficarão presos com a caixa trancada e sem forma de abri-la sem o seu dispositivo físico.

4. O Plano de Contingência: O "Fallback de Senha"

E se o seu navegador não suportar este recurso sofisticado de "molho secreto" (como em alguns tablets Android)?

O sistema possui um plano de contingência chamado pw-v1. Em vez de usar o molho secreto da passkey, ele usa um enigma matemático muito lento e pesado (scrypt) baseado em uma senha tradicional que você digita.
É mais lento e menos conveniente, mas garante que você ainda possa abrir seu cofre mesmo que o recurso de hardware sofisticado não esteja disponível. É como ter uma fechadura física ao lado do scanner biométrico.

5. Verificações de Segurança: Impedindo Ataques de Replay

O artigo enfatiza uma "verificação de replay".

Imagine que um ladrão grave o seu sinal de "desbloqueio" e tenta reproduzi-lo mais tarde para abrir o cofre.
O sistema mantém um contador (como um odômetro de um carro). Cada vez que você desbloqueia o cofre, o contador aumenta. Se o sistema vir um sinal com um número de contador antigo, ele sabe que é uma gravação e rejeita a operação.
Nota: O artigo admite que isso não é perfeito para todos os dispositivos (algumas passkeys sincronizadas não atualizam o contador), mas adiciona uma camada de defesa.

6. O Que Este Artigo NÃO Faz

O autor é muito cuidadoso ao dizer contra o que este sistema não protege:

Não protege contra um vírus no seu computador. Se um hacker já estiver dentro do seu navegador observando você digitar, eles podem roubar a chave enquanto ela está sendo usada. Este sistema apenas protege os dados em repouso (quando estão parados no armazenamento).
Não protege contra vazamentos de "canal lateral" (side-channel). Se o aplicativo comprimir os dados antes de trancá-los, ou se o tamanho da caixa trancada mudar dependendo de quão longa é sua senha, um hacker astuto pode adivinhar o que está dentro apenas medindo o tamanho da caixa. O artigo alerta os desenvolvedores para preencherem seus dados (fazer o "padding", tornando todas as caixas do mesmo tamanho) para evitar isso.

Resumo

Este artigo apresenta um blueprint para um cofre de senhas baseado na web que é matematicamente comprovado como ilegível para qualquer pessoa que não tenha sua passkey física específica. Ele usa sua passkey para gerar um código temporário e de uso único que tranca seus dados, garante que esse código nunca seja salvo e organiza o armazenamento de modo que, mesmo um roubo total do banco de dados, não resulte em nada além de caixas trancadas. É um sistema de "Conhecimento Zero" onde o provedor de armazenamento (ou um hacker) não sabe nada sobre seus segredos.

Resumo Técnico: Arquitetura de Armazenamento PWA com Chave de Cofre de Embrulho Baseada em PRF de WebAuthn e Conhecimento Zero

Definição do Problema
O artigo aborda o desafio de implementar uma segurança de conhecimento zero (zero-knowledge) robusta para cofres de credenciais em Progressive Web Applications (PWAs). Embora o WebAuthn e as passkeys forneçam autenticação de chave pública forte, eles tradicionalmente não expõem um segredo simétrico de alta entropia para a aplicação web para criptografar dados do usuário. As soluções existentes frequentemente dependem de confiança no servidor ou senhas mestras, que podem ser vulneráveis a ataques offline ou exigir modelos de confiança complexos. O problema específico é como derivar de forma segura uma chave de criptografia simétrica a partir de uma credencial de passkey usando a extensão WebAuthn PRF (Função Pseudoaleatória), envolver (wrap) uma chave de cofre e armazenar o estado resultante no armazenamento do navegador (IndexedDB) de modo que os dados persistidos não revelem nada sobre os segredos do usuário sem uma cerimônia de autenticação ao vivo no autenticador.

Metodologia
A arquitetura proposta combina a extensão WebAuthn PRF com criptografia simétrica e um esquema de armazenamento IndexedDB rigorosamente projetado.

Esquema de Embrulho de Chave (Key Wrapping):
- Inscrição (Enrollment): Durante a inscrição, a aplicação solicita uma saída PRF de 32 bytes do autenticador usando um sal (salt) de 32 bytes único e aleatório. Esta saída serve como o Material de Chave de Entrada (IKM) para o HKDF-SHA256.
- Derivação: O HKDF utiliza um rótulo de separação de domínio congelado e versionado ("webauthn-prf-zktv vault key wrap v1") e um sal vazio para derivar uma chave de embrulho $K_w$ AES-256-GCM não extraível.
- Criptografia: A chave do cofre ( $K_v$ ) é criptografada usando $K_w$ e um nonce de 96 bits novo.
- Armazenamento: Apenas o WrappedSecretRecord resultante é persistido. Este registro contém o identificador do esquema (prf-v1), o texto cifrado, o nonce e o sal do PRF. Crucialmente, a saída do PRF e a chave de embrulho derivada nunca são armazenadas; elas são zeradas na memória imediatamente após o uso.
- Fallback: Para clientes onde o PRF não está disponível (ex: Android WebView), um esquema pw-v1 é fornecido. Este utiliza uma derivação scrypt de alto custo de memória (com parâmetros de custo fixos elevados) a partir de uma senha do usuário em vez do PRF, mantendo a mesma estrutura de registro.
Desembrulho e Verificação:
- Proteção contra Replay: O processo de desembrulho inclui uma etapa obrigatória de verificação de replay. A aplicação reavalia o PRF com o sal armazenado e verifica o desafio (challenge), origem (origin) e o contador de assinatura. O contador deve ser estritamente crescente (a menos que seja zero, um comportamento conhecido de passkeys sincronizadas) para evitar ataques de replay.
- Tratamento de Erros: O sistema é projetado para ser genérico em modos de falha. Falhas de descriptografia (devido a chave incorreta ou adulteração) levantam um DecryptError genérico que não distingue entre uma chave errada e dados corrompidos, evitando vazamento por canal lateral (side-channel leakage).
Arquitetura de Armazenamento (IndexedDB):
- A biblioteca (webauthn-prf-zktv) define um esquema com três lojas de objetos: vaults, credentials e meta.
- A loja vaults usa uma chave primária composta [vaultId, scheme], permitindo que um único cofre contenha simultaneamente um registro prf-v1 e um registro de fallback pw-v1.
- A loja credentials contém metadados não secretos, incluindo o último contador de assinatura verificado e o sal do PRF, mas nunca as chaves secretas em si.
- O esquema impõe invariantes estruturais (ex: comprimento do nonce, tamanho do sal) a cada carregamento para garantir a integridade dos dados.

Principais Contribuições
O artigo formaliza e fornece uma implementação de código aberto de:

Um Esquema de Embrulho de Chave de Cofre Baseado em PRF: Um método para usar a saída do PRF do WebAuthn como raiz de confiança para derivar uma chave de embrulho simétrica, utilizando HKDF com separação de domínio estrita.
Um Esquema de IndexedDB de Conhecimento Zero: Um padrão de armazenamento onde o estado persistido não contém entradas de chave recomputáveis. A segurança dos dados armazenados depende inteiramente do segredo interno do autenticador.
A Biblioteca webauthn-prf-zktv: Uma biblioteca TypeScript reutilizável e tipada que encapsula a lógica criptográfica, gerenciamento de armazenamento e caminhos de migração (incluindo um adaptador de etapa única para registros legados da TrustVault-PWA).
Verificação de Replay no Lado do Cliente: A integração de verificações de contador de assinatura e verificação de desafio/origem diretamente no algoritmo de desbloqueio do cofre, um recurso frequentemente omitido em bibliotecas auxiliares genéricas de PRF.

Resultos e Avaliação
O artigo avalia a arquitetura através de três eixos:

Segurança: O argumento de conhecimento zero postula que, sem o autenticador, o texto cifrado armazenado é computacionalmente inútil. O esquema depende da pseudoaleatoriedade do PRF do autentic
Desempenho: A latência de desbloqueio é dominada pelo gesto de verificação do usuário exigido pelo autenticador. As operações criptográficas (derivação HKDF e descriptografia AES-GCM de um payload de 32 bytes) são insignificantes. O fallback de senha (scrypt) é intencionalmente caro para deter ataques offline, embora possa causar latência em dispositivos móveis de baixo desempenho.
Usabilidade e Robustez: O sistema suporta degradação graciosa via fallback pw-v1 para clientes não compatíveis. Ele emprega uma abordagem de "melhor esforço" para detecção de credenciais clonadas (lidando com o caso de borda do contador zero de passkeys sincronizadas) e garante que falhas parciais (ex: crashes durante atualizações de contador) não bloqueiem permanentemente o usuário, priorizando a disponibilidade sobre a proteção estrita contra replay em casos de borda.

Significância e Alegações
O artigo afirma fornecer um padrão formalizado e pronto para produção para alcançar o armazenamento de conhecimento zero em aplicações web usando tecnologia de passkey moderna. Sua significância reside em:

Remover a Confiança no Servidor: Ele desloca a fronteira de confidencialidade inteiramente para o cliente, garantindo que mesmo que o servidor ou um backup sincronizado seja comprometido, os segredos do usuário permaneçam seguros, desde que o autenticador não seja comprometido.
Padronização de Padrões: Ao definir um formato v1 congelado e rótulos de separação de domínio específicos, ele evita a invalidação silenciosa de registros devido a mudanças de algoritmo e fornece um caminho claro de migração para versões futuras (ex: prf-v2).
Segurança Holística: Ele aborda explicitamente vetores de vazamento não criptográficos (como compressão pré-criptografia e correlação de tamanho de registro) na orientação da camada de aplicação, reconhecendo que a camada de armazenamento sozinha não pode garantir conhecimento zero se a aplicação vazar metadados.

O autor enfatiza que a biblioteca é uma ferramenta para desenvolvedores adotarem esses padrões sem ter que rediscutir a complexa higiene de chaves e a disciplina de armazenamento necessária para cofres seguros no lado do cliente.