Passkeys y autenticación sin contraseña: ¿el fin de las contraseñas y los gestores de contraseñas?
Durante todo el año pasado oímos en todas partes una nueva palabra de moda: «passwordless», sin contraseña.
¿Pasarán pronto las contraseñas a la historia? ¿Entramos en un mundo nuevo en el que ya no tendremos que inventarlas, recordarlas ni guardarlas de forma segura?
Veámoslo con más detalle para averiguar si realmente es así.
Empecemos por lo básico: ¿qué hay detrás de la nueva tecnología sin contraseña?
A decir verdad, la nueva tecnología sin contraseña basada en passkeys (llaves de acceso) no es más que la vieja y conocida criptografía de clave pública (asimétrica): la clave pública se almacena en el servicio y la clave privada permanece en su dispositivo. La clave privada nunca se envía y sirve para verificar las solicitudes de autenticación del servicio.
Entre los puntos fuertes de las passkeys está que se consideran siempre robustas y resistentes al phishing.
A la cabeza del camino hacia la autenticación sin contraseña está la FIDO Alliance, una asociación industrial abierta con una misión clara: «reducir la dependencia mundial de las contraseñas». Sus esfuerzos se centran en mejorar la experiencia de autenticación de los usuarios.
Actualmente, la autenticación sin contraseña de FIDO mediante passkeys está disponible para Windows, macOS, Android, iOS, Chrome, Edge y Safari. Grandes servicios online como Apple, Google, Microsoft, Amazon, PayPal o Adobe ya ofrecen el inicio de sesión con passkeys.
Por supuesto, se trata de pioneros, y aún queda un largo camino hasta una adopción generalizada, sobre todo porque la tecnología sigue en desarrollo y no ofrece funcionamiento multiplataforma. Como resultado, los usuarios tienen que crear varias passkeys para distintos dispositivos, lo que hace que para muchos la transición al acceso sin contraseña resulte engorrosa y todavía poco madura.
Para ser justos, hay que señalar que las passkeys pueden almacenarse en una YubiKey y, con algunas limitaciones, en algunos gestores de contraseñas, lo que mejora la experiencia multiplataforma.
¿Cuándo será nuestro mundo digital un mundo sin contraseñas?
Lamentablemente, no tan pronto como esperan los defensores de la tecnología «passwordless». Y estas son las razones.
Veamos algunas estadísticas sobre autenticación.
Según la encuesta de FIDO, la autenticación solo con contraseña sigue predominando (¡más del 30 % de los encuestados accede así a sus ordenadores y cuentas de trabajo!). También llama la atención que el usuario medio tiene que introducir manualmente una contraseña unas 4 veces al día.
Los métodos preferidos para iniciar sesión en cuentas online, apps y dispositivos inteligentes son: biometría (27 %), contraseñas complejas y únicas (17 %), códigos de un solo uso (14 %), gestores de contraseñas (8 %) y llaves de seguridad físicas (4 %).
De media, casi cuatro veces al mes una persona abandona una compra o renuncia a acceder a un servicio online porque no recuerda su contraseña. Esta cifra, así como el número de introducciones manuales de contraseñas al día, se explica fácilmente por la baja adopción de gestores de contraseñas entre los encuestados.
Hasta ahora, el ranking de métodos de autenticación en las empresas es el siguiente: contraseñas (76 %), autenticación multifactor (MFA) (43 %), códigos de un solo uso (33 %) y tecnologías de inicio de sesión único (SSO) (27 %). No obstante, el 92 % prevé utilizar más tecnologías sin contraseña en el futuro.
Según los encuestados, la autenticación sin contraseña reducirá las soluciones MFA convencionales (50 %), la necesidad de SSO (48 %) y la de gestión de accesos privilegiados (46 %), aunque todavía no está claro en qué medida.
El 89 % de los responsables de TI encuestados espera que en cinco años su empresa use contraseñas en menos del 25 % de los inicios de sesión. De media, casi un tercio de las empresas planea adoptar, utilizar o seguir utilizando la autenticación sin contraseña en los próximos 1 a 3 años.
El 39 % de los responsables de TI admite que los usuarios se resisten al cambio y el 49 % afirma que las aplicaciones que utilizan no están diseñadas para funcionar sin contraseña.
A pesar del revuelo mediático, un futuro totalmente sin contraseñas parece poco realista. Pero el mundo digital avanza hacia él, lenta pero inexorablemente.
¿Y qué pasa con las contraseñas y los gestores de contraseñas en un futuro «sin contraseñas»?
Han venido para quedarse, así que no se precipite en cancelar la suscripción a su gestor de contraseñas.
La principal desventaja de las contraseñas frente a las passkeys es que se almacenan en los servidores de los servicios (normalmente no en texto plano, sino ofuscadas) y, en caso de brecha de datos, pueden quedar expuestas (si se descifran). En ese caso resulta útil comprobar las contraseñas con la base de datos de credenciales filtradas. Nuestro gestor de contraseñas PassSecurium™ ofrece esta función.
Las passkeys también se consideran a prueba de phishing, pero con un gestor de contraseñas puede reducir igualmente el riesgo de visitar un sitio fraudulento guardando en él el enlace al sitio legítimo y abriéndolo directamente desde el gestor.
En general, los usuarios pueden reducir drásticamente los ciberriesgos asociados a las contraseñas utilizando un gestor de contraseñas y activando la 2FA/MFA allí donde no sea posible usar passkeys.
Además, los gestores de contraseñas pueden almacenar muchos más datos que simples pares de usuario y contraseña: tarjetas de crédito, cuentas bancarias, todo tipo de tarjetas de cliente y documentos de identidad, accesos a servidores o configuraciones de correo electrónico. También puede adjuntar archivos a sus registros y crear notas seguras.
Para compartir credenciales entre varios usuarios y plataformas, especialmente en las empresas, el gestor de contraseñas sigue siendo la solución más aceptada y cómoda.
Y poco a poco, los desarrolladores de gestores de contraseñas están añadiendo a sus productos la posibilidad de guardar passkeys (nosotros también tenemos esta idea presente en nuestros planes de futuro).
¿Qué conclusiones podemos sacar?
Evidentemente, no cabe esperar una transición completa a la autenticación sin contraseña en un futuro próximo.
Las passkeys y su uso son un tema candente, pero es pronto para saber cuánto hay de exageración. La tecnología aún es nueva y se presenta como el método de autenticación más seguro y resistente al phishing, pero no debemos olvidar que la ciberseguridad es siempre una carrera armamentística con los hackers. Hay motivos para pensar que pronto veremos los primeros intentos de atacar, eludir o explotar las tecnologías sin contraseña.
Poco a poco, servicios y aplicaciones irán pasando a la autenticación sin contraseña, y eso es una buena noticia. Sin embargo, muchos servicios no son tan ágiles y probablemente seguirán usando los métodos tradicionales durante mucho tiempo.
Utilice passkeys siempre que sea posible. Si sigue utilizando contraseñas, le recomendamos encarecidamente seguir las buenas prácticas de gestión de contraseñas, incluido el uso de un gestor de contraseñas como PassSecurium™.
Los gestores de contraseñas, incluido nuestro propio producto, se están diversificando y adaptando, de modo que seguirán teniendo su lugar y siendo necesarios incluso en un futuro sin contraseñas.
Fuentes
Online Authentication Barometer – encuesta de FIDO
Este sitio web utiliza cookies, las cuales tienen dos funciones: por un lado, están proporcionando una funcionalidad básica para este sitio web. Por otro lado, nos permiten mejorar nuestro contenido guardando y analizando datos anónimos de usuario. Usted puede cambiar su consentimiento a utilizar estas cookies en cualquier momento. Encontrar más información sobre cookies en nuestro Declaración de Protección de Datos y sobre nosotros en el Aviso Legal.