Google ha anunciado que más de 400 millones de cuentas de Google están utilizando Passkeys, un método de autenticación que permite a los usuarios iniciar sesión sin necesidad de contraseñas tradicionales. Estos datos se basan en el uso de Passkeys para la autenticación, lo cual ha superado las formas heredadas de autenticación de dos factores, como las contraseñas de un solo uso (OTP) por SMS y las OTP basadas en aplicaciones.
Características de las Passkeys
Las Passkeys se basan en claves criptográficas que funcionan creando un par de claves, una clave privada que se almacena en el dispositivo y una clave pública que se comparte con la aplicación o sitio web. Esta combinación única permite que las Passkeys solo funcionen en el sitio web o aplicación para el cual fueron creadas, lo que evita que puedan usarse en entornos maliciosos.
Según Heather Adkins, vicepresidenta de ingeniería de seguridad de Google, «las claves de acceso son fáciles de usar y resistentes al phishing; solo dependen de una huella digital, un escaneo facial o un PIN, lo que las hace un 50% más rápidas que las contraseñas».
Adopción por parte de otras empresas
Más allá de Google, varias empresas han adoptado Passkeys, incluyendo a 1Password, Amazon, Apple, Dashlane, Docusign, eBay, Kayak, Microsoft, PayPal, Shopify, Uber y WhatsApp. Microsoft también integró PassKey en Windows 11 en septiembre de 2023, anunciando su plan para admitir el estándar de autenticación mediante datos biométricos o PIN de dispositivo en las plataformas Windows, Google y Apple.
Protección adicional
Google ha ampliado la protección entre cuentas, que alerta de eventos sospechosos con aplicaciones y servicios de terceros conectados a la cuenta de Google. Además, se espera que respalde el uso de Passkeys para usuarios de alto riesgo como parte del Programa de Protección Avanzada (APP), que protege a personas expuestas a ataques dirigidos.
La aplicación anteriormente requería el uso de claves de seguridad de hardware como segundo factor, pero ahora permite la inscripción con cualquier clave de acceso junto con las claves de seguridad de hardware, o usarlas como único medio de autenticación.
Simplificación del proceso 2FA
Google también anunció que está simplificando el proceso de habilitar la autenticación de dos factores (2FA) para usuarios con cuentas personales y de Workspace. El nuevo cambio implica agregar un método de segundo paso, como una aplicación de autenticación o una clave de seguridad de hardware, antes de activar 2FA, eliminando así la necesidad de utilizar la autenticación basada en SMS, menos segura.
Este cambio es particularmente útil para las organizaciones que utilizan Google Authenticator (u otras aplicaciones equivalentes de contraseña de un solo uso (TOTP)). Anteriormente, los usuarios tenían que habilitar 2SV con un número de teléfono antes de poder agregar Authenticator.
Posibles preocupaciones
Aunque las Passkeys ofrecen una alternativa segura a las contraseñas tradicionales, surgen preocupaciones sobre su uso como herramienta para capturar usuarios y audiencias en una sola plataforma. William Brown, ingeniero de software involucrado en el desarrollo de Webautn-rs, señaló que «qué mejor manera de fomentar la trampa a largo plazo de los usuarios que bloquear todas sus credenciales en su plataforma, y aún mejor, credenciales que no se pueden extraer ni exportar de ninguna manera».
Además, una investigación reciente ha descubierto que un actor de amenazas podría eludir FIDO2 organizando un ataque de adversario en el medio (AitM) que puede secuestrar sesiones de usuario en aplicaciones que utilizan soluciones de inicio de sesión único (SSO), como Microsoft Entra ID, PingFederate y Yubico.
Los métodos modernos de autenticación, como FIDO2, están diseñados para resistir ataques de phishing y secuestro de sesión aprovechando claves criptográficas generadas y vinculadas a dispositivos. Sin embargo, la investigación mencionada arriba muestra que aún existen vulnerabilidades en este tipo de sistemas.