¿Que son las claves de acceso y cómo se utilizan?
Las claves de acceso (o «passkeys» en inglés) están emergiendo como una solución prometedora para superar las limitaciones de las contraseñas tradicionales. En lugar de utilizar contraseñas que son vulnerables a ataques de phishing o que pueden ser fácilmente robadas, las claves de acceso dependen de la criptografía de clave pública, lo que las hace mucho más seguras y fáciles de gestionar.
¿Qué son las Claves de Acceso?
Las claves de acceso son un método de autenticación basado en criptografía de clave pública que elimina la necesidad de recordar y gestionar contraseñas complejas. Desarrolladas por la FIDO Alliance en colaboración con gigantes tecnológicos como Apple, Google y Microsoft, las claves de acceso prometen una experiencia de inicio de sesión más segura
¿Cómo funcionan las claves de Acceso?
Las claves de acceso se basan en un sistema de autenticación de dos claves: una clave pública y una clave privada. Cuando un usuario registra una clave de acceso en un sitio web o servicio, se genera un par de claves:
- Clave pública: Se almacena en el servidor del servicio o sitio web.
- Clave privada: Se guarda de forma segura en el dispositivo del usuario, como un teléfono, computadora o llave de seguridad física.
Cuando el usuario inicia sesión, el servicio envía un desafío criptográfico que debe ser firmado con la clave privada almacenada en el dispositivo del usuario. El proceso de autenticación ocurre de forma automática y sin necesidad de que el usuario recuerde o introduzca una contraseña.
Ventajas y desventajas de las claves de Acceso
Las claves de acceso ofrecen una mejora significativa en seguridad al utilizar criptografía de clave pública, lo que reduce el riesgo de ataques de phishing o robo de contraseñas, ya que las claves privadas nunca abandonan el dispositivo del usuario.
Además, son fáciles de usar, eliminando la necesidad de recordar contraseñas complejas y permitiendo autenticarse mediante métodos biométricos como huellas digitales o reconocimiento facial. Estas claves son resistentes al phishing y permiten una autenticación sin contraseñas, lo que simplifica el acceso a los servicios. También son compatibles con múltiples dispositivos, pudiendo sincronizarse a través de ecosistemas como los de Apple o Google.
Sin embargo, presentan algunas desventajas, pues aún no todos los sitios web y servicios las soportan, lo que limita su adopción. Además, si un usuario pierde su dispositivo, el acceso puede complicarse, aunque existen opciones de recuperación. La configuración inicial puede resultar más compleja que las contraseñas tradicionales, especialmente para usuarios menos familiarizados con la tecnología.
Cómo se configuran las claves de acceso en Google
Google es uno de los principales impulsores de la adopción de claves de acceso como parte de su estrategia para mejorar la seguridad. Para configurar las claves de acceso en Google, los pasos son relativamente sencillos:
Acceder a la configuración de seguridad: El primer paso es acceder a tu cuenta de Google y dirigirte a la sección de «Seguridad».
Activar las claves de acceso: En la sección de «Iniciar sesión en Google», se debe seleccionar la opción de usar claves de acceso. Google te guiará a través del proceso de configuración.
Registrar un dispositivo: Una vez activado, se debe registrar un dispositivo como una clave de acceso. Esto generalmente implica utilizar un teléfono móvil que tenga configurado un método biométrico (como huella digital o reconocimiento facial) o una llave de seguridad compatible.
Confirmar el registro: El dispositivo registrado actúa como la clave privada, y Google almacena la clave pública. Una vez registrado, el dispositivo puede ser utilizado para iniciar sesión sin contraseña en cualquier servicio de Google.
Sincronización en varios dispositivos: Las claves de acceso de Google pueden sincronizarse en dispositivos múltiples utilizando el sistema de sincronización de Google, lo que permite que el usuario pueda autenticarse en cualquier dispositivo compatible.
¿Cómo se generan y almacenan las Passkeys en los dispositivos?
Las Passkeys se generan y almacenan de una manera bastante ingeniosa para garantizar la seguridad. Veamos cómo funciona todo este proceso:
- Generación de claves:
Cuando creas una Passkey, tu dispositivo genera un par de claves criptográficas
- Una clave pública que se envía al servidor del servicio.
- Una clave privada que se queda en tu dispositivo.
- Almacenamiento seguro:
La clave privada se guarda en componentes de seguridad específicos de tu dispositivo:
- En dispositivos Apple, se usa el Secure Enclave.
- En Windows y Android, se utiliza el Trusted Platform Module (TPM).
- Los dispositivos Samsung Galaxy usan Samsung Knox.
Estos componentes están aislados del procesador principal, funcionando como una caja fuerte digital. Incluso si hubiera un ataque de malware, tus datos sensibles permanecerían seguros.
- Sincronización entre dispositivos:
Las Passkeys pueden sincronizarse entre tus dispositivos gracias a ecosistemas seguros. Por ejemplo:
- Si usas dispositivos Apple, se sincronizan a través de iCloud Keychain.
- En el ecosistema Google, se usa Google Password Manager.
Esto permite que puedas usar tus Passkeys en cualquier dispositivo donde tengas tu cuenta activa.
- Proceso de uso:
Cuando intentas iniciar sesión:
- El servicio te pide que uses el mecanismo de desbloqueo de tu dispositivo (huella, reconocimiento facial, etc.).
- Tu dispositivo firma la solicitud con la clave privada.
- Esta firma se envía al servicio, que la verifica con la clave pública almacenada.
- Seguridad adicional:
Cada vez que inicias sesión, tu dispositivo crea una firma basada en el tiempo que caduca rápidamente. Esto garantiza que, aunque alguien interceptara la información, no podría reutilizarla. - Creación de Passkeys:
Para crear una Passkey, simplemente abres un servicio o app que las soporte y sigues las indicaciones. Normalmente implica usar tu autenticación biométrica.
