O que é autenticação baseada em chaves e por que chaves roubadas concedem acesso duradouro?

Resposta curta: A autenticação baseada em chaves comprova a identidade com uma chave privada criptográfica em vez de uma senha — utilizada pelo SSH, muitas VPNs e clientes de transferência de arquivos. Uma chave privada roubada concede acesso sem qualquer solicitação de senha ou MFA e, como as chaves raramente são rotacionadas, esse acesso pode persistir por muito tempo. 
 Como funciona 
 Você possui uma chave privada; o servidor possui a chave pública correspondente. No momento da conexão, o servidor emite um desafio que somente a chave privada pode responder. A própria chave nunca trafega pela rede. 
 Isso é genuinamente mais forte do que senhas — resiste a tentativas de adivinhação, phishing e reutilização. Sua fraqueza é diferente: tudo depende de o arquivo de chave privada permanecer privado. 
 Por que uma chave roubada é tão duradoura 
 
 Nenhuma solicitação de senha. A chave é a credencial. 
 Frequentemente sem MFA. A autenticação por chave costuma funcionar isoladamente, principalmente em sistemas automatizados. 
 Raramente rotacionada. Senhas expiram em uma programação; chaves comumente permanecem válidas por anos. 
 Armazenamento previsível. Diretórios padrão e caminhos de configuração de clientes VPN. 
 
 Uma chave roubada é uma porta dos fundos silenciosa e duradoura, que não gera tentativas de login falhas e parece inteiramente legítima. 
 Proteção 
 Materiais de VPN e de autenticação baseada em chaves estão explicitamente entre as categorias de identidade protegidas. O acesso é avaliado no nível do kernel, de modo que um programa que colete arquivos de chave é interrompido — negado ou alimentado com dados falsos, caso seja um programa confiável agindo além do esperado, ou rejeitado ou suspenso, caso seja desconhecido ou comprometido — antes que a chave saia da máquina.