¿Qué es una passkey? El futuro del acceso sin contraseña

01¿Cuál es el problema de las contraseñas?

Las contraseñas llevan décadas siendo la base de la autenticación, pero sus puntos débiles también son bien conocidos: la gente elige contraseñas cortas y predecibles, usa la misma en muchas cuentas y puede teclearla con facilidad en una página de acceso falsa. Y cuando se filtra la base de datos de un sitio, millones de contraseñas quedan expuestas a la vez.

Las contraseñas largas y los gestores de contraseñas mitigan en gran medida estos problemas; lo explicamos en nuestro artículo sobre cómo crear contraseñas seguras. Pero queda una debilidad básica: la contraseña es un secreto compartido. Lo conocen tanto usted como el sitio, y puede robarse en cualquier lugar donde se escriba.

La passkey invierte este planteamiento. No hay ningún secreto compartido; el sitio guarda la información necesaria para verificarle, pero no posee nada que permita iniciar sesión en su nombre.

02¿Cómo funciona una passkey?

La passkey se basa en la criptografía de clave pública. Cuando crea una passkey en un sitio, su dispositivo genera un par de claves específico para ese sitio. La clave privada permanece en su dispositivo, o en su gestor de contraseñas, donde se sincroniza cifrada; la clave pública, en cambio, se envía al sitio.

Al iniciar sesión, el sitio envía un desafío (challenge) aleatorio. Su dispositivo firma ese dato con la clave privada y el sitio verifica la firma con la clave pública registrada. La huella dactilar o el reconocimiento facial solo desbloquean el dispositivo en ese momento; sus datos biométricos no salen del dispositivo ni se envían al sitio.

1. Al entrar en el sitio, usted pulsa la opción «Iniciar sesión con passkey»
2. El dispositivo le verifica con la huella dactilar, el reconocimiento facial o el PIN de bloqueo de pantalla
3. La clave privada firma el desafío que envía el sitio
4. El sitio comprueba la firma con la clave pública y abre la sesión

03¿Qué es FIDO2?

FIDO2 es la familia de estándares abiertos que hay detrás de las passkeys. Desarrollada conjuntamente por la organización del sector FIDO Alliance y el W3C, que fija los estándares web, consta de dos piezas: la interfaz WebAuthn, con la que el navegador se comunica con los sitios, y el protocolo CTAP, con el que el dispositivo se comunica con autenticadores externos (por ejemplo, una llave de seguridad USB).

Que sea un estándar abierto es una ventaja importante. Como los principales sistemas operativos y navegadores admiten el mismo estándar, la passkey no depende de una empresa concreta; y los desarrolladores pueden dirigirse a todas las plataformas con una única interfaz.

04¿Es segura una passkey?

La pregunta de si una passkey es segura es una de las que más se plantean. Respuesta corta: resiste mucho mejor que una contraseña, porque no hay ninguna contraseña que robar ni que adivinar. Aunque se filtre la base de datos del sitio, las claves públicas obtenidas no sirven para entrar en su cuenta.

La mayor ventaja es la resistencia al phishing. La passkey está vinculada al dominio en el que se creó; en una dirección falsa, el navegador ni siquiera propone la passkey de ese sitio. Por muy descuidado que sea el usuario, no puede «teclear» su clave en una dirección de aspecto parecido. Cómo se montan los correos falsos lo explicamos en nuestro artículo qué es el phishing.

Puntos a tener en cuenta

• El bloqueo de pantalla de su dispositivo debe ser robusto; la fortaleza de la passkey es el propio dispositivo
• Proteja con verificación en dos pasos la cuenta en la nube que usa para sincronizar las passkeys
• Guarde una passkey de respaldo en un segundo dispositivo o en una llave de seguridad física por si pierde el dispositivo
• Las vías de recuperación de la cuenta (correo electrónico, códigos de respaldo) deben ser tan seguras como la passkey

05¿Cómo se usa una passkey?

En un sitio compatible, crear una passkey suele hacerse desde la sección de seguridad de los ajustes de la cuenta. Al pulsar «Crear passkey», su dispositivo le verifica y se guarda la clave; a partir de entonces, al iniciar sesión basta la huella dactilar o el reconocimiento facial en lugar de la contraseña.

Passkey sincronizada y vinculada al dispositivo

Las passkeys sincronizadas se transfieren a los dispositivos vinculados a la misma cuenta a través del almacén cifrado del sistema operativo o del gestor de contraseñas; no se pierden cuando cambia de teléfono. Las passkeys vinculadas al dispositivo, en cambio, residen en una llave de seguridad USB o NFC y no salen de ella; se prefieren para usos críticos, como las cuentas de administrador.

Iniciar sesión desde otro dispositivo

Al iniciar sesión desde un ordenador en el que no tiene su passkey, aparece en la pantalla un código QR. Cuando lo escanea con el teléfono, este usa Bluetooth para verificar la proximidad y confirma el acceso. Así se abre la sesión en ese ordenador sin que la clave salga del teléfono.

06Añadir passkeys a las webs

Añadir passkeys a un sitio con sistema de usuarios se hace con la interfaz WebAuthn del navegador y una biblioteca del lado del servidor que verifica las firmas. El servidor genera un desafío de un solo uso para cada registro e inicio de sesión, verifica la respuesta recibida y guarda la clave pública asociándola al registro del usuario.

El siguiente ejemplo muestra el esqueleto de la llamada que crea una nueva passkey en el navegador. El desafío y el identificador del usuario llegan del servidor; en un proyecto real, la respuesta debe verificarse siempre en el servidor.

La compatibilidad con passkeys es una de las funciones más fáciles de añadir a un sistema de usuarios escrito desde cero; añadirla después a una estructura ya hecha suele requerir replantear la gestión de sesiones. En soluciones de software a medida como una reserva de hotel, un panel de agencia o un portal de distribuidores, donde los usuarios inician sesión cada día, planificar esta función al inicio del proyecto aumenta tanto la seguridad como la satisfacción de los usuarios. Sobre todo en las empresas donde el personal inicia sesión desde ordenadores compartidos, las llaves de seguridad personales ponen fin además a la costumbre de compartir contraseñas.

• Durante la transición, ofrezca la passkey como una opción adicional a la contraseña, sin imponerla
• Diseñe la opción de passkey en la pantalla de acceso de forma sencilla y visible
• Permita añadir y eliminar varias passkeys en los ajustes de la cuenta
• Plantee el flujo de recuperación con la misma seguridad que la passkey

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Empresa de ejemplo', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Ayşe' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07El futuro del acceso sin contraseña

Con la generalización del soporte de passkeys por parte de las grandes plataformas, el acceso sin contraseña deja de ser una función experimental y pasa a ser una opción cotidiana. Aun así, las contraseñas no desaparecerán de la noche a la mañana; durante mucho tiempo convivirán passkeys y contraseñas.

Para las empresas, la estrategia correcta es una transición gradual. Primero se hace obligatoria la passkey o la llave de hardware en las cuentas de administradores y personal; después se ofrece a los clientes como opción voluntaria. A medida que se sigue el uso, el acceso con contraseña pasa a segundo plano y también pueden reducirse las solicitudes de «he olvidado mi contraseña» que llegan al equipo de soporte.

En el futuro de la autenticación, la propia criptografía también se está transformando. Cómo afectarán a los sistemas de clave pública, como la passkey, los nuevos algoritmos resistentes a los ordenadores cuánticos lo tratamos en nuestro artículo sobre la criptografía poscuántica.