Las passkeys y el fin de las contraseñas
Cómo funcionan las passkeys FIDO2, por qué frenan el phishing y qué deben cambiar las organizaciones para adoptarlas.
Durante treinta años hemos pedido a la gente que recuerde secretos, que no los repita, que los cambie a menudo y que solo los escriba en la web correcta. Nadie puede hacer eso, y los atacantes lo saben. Las credenciales robadas o conseguidas mediante phishing siguen siendo una de las vías de entrada más habituales en una organización.
Las passkeys (llaves de acceso) son el primer sustituto de las contraseñas que es a la vez más seguro y más fácil de usar. Así funcionan y esto es lo que hace falta para adoptarlas.
Qué es una passkey
Una passkey es una credencial basada en los estándares FIDO2 / WebAuthn. En lugar de un secreto compartido, utiliza un par de claves:
- La clave privada se queda en el dispositivo del usuario o en su gestor de contraseñas, protegida por el desbloqueo del dispositivo (huella, cara o PIN).
- La clave pública la guarda el servicio. No le sirve de nada a un atacante que robe la base de datos.
Para iniciar sesión, el servicio envía un desafío aleatorio, el dispositivo lo firma con la clave privada cuando el usuario lo desbloquea y el servicio comprueba la firma con la clave pública. Ningún secreto viaja por la red.
Por qué las passkeys frenan el phishing
Esta es la propiedad más importante. Una passkey está vinculada al dominio de la web (la "parte que confía"). El navegador solo usará la passkey de ejemplo.com en ejemplo.com. Una copia perfecta de la página de inicio de sesión en ejemp1o-login.com sencillamente no obtiene nada.
Compárala con las alternativas:
| Método | ¿Resistente al phishing? | Por qué |
|---|---|---|
| Contraseña | No | El usuario puede escribirla en cualquier sitio |
| Código por SMS o correo | No | Una web falsa puede reenviar los códigos en tiempo real |
| Código de una aplicación de autenticación (TOTP) | No | El mismo problema de reenvío |
| Aprobación por notificación | En parte | Vulnerable a la "fatiga de MFA" si no se usa la coincidencia de números |
| Passkey / llave de seguridad FIDO2 | Sí | Vinculada criptográficamente al dominio real |
¿Sincronizadas o ligadas al dispositivo?
Hay dos tipos de passkeys, y para las organizaciones la elección importa:
- Las passkeys sincronizadas se guardan en la cuenta de la plataforma o en el gestor de contraseñas del usuario y están disponibles en todos sus dispositivos. Son ideales para los consumidores, porque perder el móvil no te deja fuera.
- Las passkeys ligadas al dispositivo están en una llave de seguridad física o en un dispositivo gestionado y no se pueden copiar. Son la opción adecuada para administradores y puestos de alto riesgo, donde hay que saber exactamente dónde está la credencial.
Qué deben cambiar las organizaciones
- Empezar por los administradores. Las cuentas privilegiadas son las que más reducen el riesgo por cada passkey emitida.
- Arreglar primero la recuperación de cuentas. Si "he perdido mi passkey" acaba en un enlace por correo o en una llamada al soporte con unas pocas preguntas personales, el atacante usará la recuperación. La recuperación debe ser al menos tan robusta como el inicio de sesión.
- Prever los dispositivos compartidos y de quiosco, donde la biometría personal no sirve. Las llaves de seguridad suelen resolverlo.
- Quitar la contraseña, no solo añadir una passkey. Mientras la contraseña siga funcionando, el phishing también. El objetivo es una cuenta sin contraseña, no una opción más.
- Medir la adopción. Mide la proporción de inicios de sesión con métodos resistentes al phishing, no solo el número de passkeys registradas.
Para todos en casa
Si tu proveedor de correo, tu banco o tu gestor de contraseñas ofrecen passkeys, actívalas. Empieza por la cuenta de correo: quien controla tu correo puede restablecer casi todo lo demás.