No primeiro artigo desta série, YubiKey: como uma chave física pode proteger suas contas mesmo se sua senha for roubada, vimos como as chaves físicas de segurança aumentam a proteção das contas e dificultam ataques de phishing. Agora chegou a hora de colocar o conceito em prática.

Neste tutorial, vamos transformar um Raspberry Pi Pico em uma chave de autenticação FIDO2. Chamaremos o projeto de YubiKey caseira apenas como comparação didática. O dispositivo não se transforma em uma YubiKey verdadeira e não possui necessariamente todas as proteções de hardware, certificações e recursos de um produto comercial.

O que vamos construir?

O Raspberry Pi Pico é uma pequena placa baseada no microcontrolador RP2040. Embora seja muito utilizada em projetos de eletrônica e automação, ela também pode executar um firmware específico que faz o computador reconhecê-la como uma chave de segurança USB.

Para este projeto vamos utilizar o Pico FIDO, um firmware de código aberto compatível com FIDO2, WebAuthn e U2F. Na prática, isso permite cadastrar o Pico como chave física em serviços que oferecem esse tipo de autenticação.

O objetivo não é fabricar uma YubiKey verdadeira, mas criar um autenticador físico funcional e entender como essa tecnologia trabalha.

O que você vai precisar

• Um Raspberry Pi Pico original com RP2040;
• Um cabo Micro USB com transmissão de dados;
• Computador com Windows, Linux ou macOS;
• Navegador atualizado;
• Firmware Pico FIDO no formato UF2.

Uma pequena caixa protetora é opcional, mas pode ser interessante caso você pretenda transportar o dispositivo.

Passo 1: baixe o firmware

Acesse a página oficial de releases do projeto Pico FIDO no GitHub:

Baixar o firmware Pico FIDO.

Na página, procure a versão mais recente e escolha o arquivo UF2 correspondente ao Raspberry Pi Pico com RP2040. Tome cuidado para não baixar uma versão destinada ao Pico 2, ESP32 ou outra placa.

O arquivo UF2 contém o firmware preparado para ser gravado diretamente no microcontrolador.

Passo 2: coloque o Pico no modo de gravação

Desconecte o Raspberry Pi Pico do computador.

Pressione o botão BOOTSEL da placa e mantenha-o pressionado. Sem soltar o botão, conecte o cabo USB ao computador.

Depois que o dispositivo aparecer no sistema, solte o botão.

Uma nova unidade USB chamada RPI-RP2 deverá aparecer. Isso significa que o Pico está pronto para receber o firmware.

Passo 3: transforme o Pico em uma chave FIDO2

Localize o arquivo UF2 que você baixou e copie-o para a unidade RPI-RP2.

Não é necessário executar instaladores ou digitar comandos.

Após a cópia, a unidade USB desaparece automaticamente. O Pico reinicia e passa a executar o firmware de autenticação.

A partir desse momento, ele deixa de aparecer como uma unidade de armazenamento comum e passa a se apresentar ao sistema como um dispositivo de segurança compatível.

Passo 4: teste antes de usar em uma conta importante

Antes de cadastrar sua nova chave no seu e-mail principal, conta corporativa ou qualquer serviço importante, é recomendável confirmar se o Raspberry Pi Pico está funcionando corretamente como autenticador.

Para isso, podemos utilizar o WebAuthn.io, um ambiente de demonstração criado especificamente para testar autenticação WebAuthn e passkeys sem colocar uma conta importante em risco.

Testar a chave no WebAuthn.io

No site, utilize um nome de usuário de teste e faça primeiro o processo de registro da chave. Quando o navegador solicitar um autenticador, escolha a opção relacionada a uma chave de segurança USB e mantenha o Raspberry Pi Pico conectado.

Depois que o registro for concluído, utilize a opção de autenticação do próprio site para verificar se o Pico consegue responder corretamente à solicitação.

Se o registro e a autenticação funcionarem, você terá uma boa indicação de que o firmware foi instalado corretamente e que o dispositivo está funcionando como um autenticador compatível com WebAuthn.

Faça esse teste antes de cadastrar o Pico em seu e-mail principal, conta Microsoft, GitHub ou qualquer serviço que seja importante para você.

Passo 5: cadastre a chave na sua conta

O nome dos menus varia entre os serviços, mas normalmente a opção fica em Segurança, Autenticação em duas etapas, Passkeys ou Chaves de segurança.

Escolha a opção para adicionar uma chave física, mantenha o Pico conectado e siga as instruções exibidas pelo navegador.

O serviço criará uma credencial associada à sua conta e ao autenticador. Nos próximos acessos, a chave poderá ser solicitada como parte do processo de autenticação.

Não remova seus outros métodos de recuperação

Este talvez seja o passo mais importante de todo o tutorial.

Nunca transforme uma única chave física no único meio de recuperação de uma conta importante.

Mantenha outro método 2FA, códigos de recuperação ou, preferencialmente, uma segunda chave física guardada em local seguro.

Se o Pico apresentar defeito, for perdido ou precisar ser reprogramado, você ainda deverá possuir uma forma alternativa de recuperar sua conta.

Isso é realmente igual a uma YubiKey?

Não. A comparação facilita a compreensão do projeto, mas existem diferenças importantes.

O Raspberry Pi Pico original utiliza o RP2040. Embora seja excelente para aprendizado, esse microcontrolador não oferece o mesmo nível de proteção de hardware contra extração física de dados da memória encontrado em soluções desenvolvidas especificamente para segurança.

Uma YubiKey comercial também possui projeto próprio de hardware e firmware e, conforme o modelo, certificações e recursos adicionais.

Por esse motivo, nossa YubiKey caseira deve ser encarada principalmente como projeto educacional, laboratório e uma maneira acessível de experimentar FIDO2 na prática.

Vale a pena fazer?

Sim, principalmente para quem deseja entender como uma chave física funciona.

Com uma placa pequena e o firmware adequado, conseguimos criar um autenticador reconhecido por navegadores e serviços compatíveis com FIDO2 e WebAuthn.

O projeto também demonstra algo importante: a autenticação moderna não precisa depender apenas de senhas e códigos enviados ao celular.

Conclusão

Ao longo dos dois artigos desta série, saímos do conceito para a prática. Primeiro entendemos por que uma chave física adiciona uma camada importante de segurança. Agora vimos como um Raspberry Pi Pico pode assumir o papel de um autenticador FIDO2 experimental.

O resultado não substitui uma YubiKey comercial em situações nas quais segurança física, confiabilidade e certificação são requisitos importantes. Para aprendizado, testes e laboratório, porém, o projeto é uma excelente forma de conhecer a tecnologia por trás das chaves de segurança.

Se decidir utilizar o projeto em contas reais, faça isso com cautela, mantenha métodos de recuperação configurados e nunca dependa de uma única chave para acessar informações importantes.

Leia também

Confira outros conteúdos do acervo da Valente Soluções sobre segurança digital, acessos e prevenção a ameaças.

• YubiKey: como uma chave física pode proteger suas contas mesmo se sua senha for roubada
• 2FA: uma camada extra de proteção que pode salvar suas contas online
• Vazamento de dados: como descobrir se suas informações estão circulando na internet

Consultoria em segurança digital

A Valente Soluções ajuda empresas a avaliar práticas de segurança digital, proteção de contas e adoção de tecnologias adequadas à sua operação. Para entender como podemos apoiar sua empresa, fale conosco.

Nota: Todas as imagens utilizadas neste artigo foram geradas com o auxílio de inteligência artificial por meio do ChatGPT 5.6 e Nano Banana 2, com o objetivo de ilustrar o conteúdo de forma didática e acessível aos nossos leitores.