Las contraseñas siguen siendo uno de los puntos débiles más persistentes de la ciberseguridad. Las passkeys, o claves de acceso, se presentan como una respuesta a este problema, pero según un análisis publicado por SecurityWeek, no son suficientes para resolver la cuestión más amplia de la confianza otorgada a una identidad.
Una protección más sólida que las contraseñas
Las passkeys se basan en la criptografía de clave pública, que reemplaza los secretos compartidos por identificadores criptográficos. Por lo tanto, ya no existe una contraseña que un atacante pueda robar, interceptar mediante phishing (phishing) o reutilizar en otro servicio. Cuando se implementan correctamente, también resisten el phishing, porque la autenticación está vinculada al servicio legítimo.
El dispositivo se distingue de los métodos tradicionales. Los códigos de un solo uso, los SMS o las notificaciones push, aunque sean más robustos que las contraseñas solas, siguen siendo vulnerables al phishing, a los ataques de intermediario, a la fatiga por solicitudes repetidas (MFA fatigue), al SIM swapping y a la ingeniería social. Con las passkeys, el dispositivo del usuario conserva una clave privada, mientras que el servicio guarda la clave pública correspondiente. La clave privada nunca se transmite durante la autenticación.
Autenticar no es identificar
Una autenticación exitosa proporciona una prueba criptográfica sólida de que un identificador asociado a una cuenta ha seguido el proceso. Sin embargo, no dice si la cuenta se creó legítimamente, si la identidad subyacente se ha visto comprometida, si el dispositivo es confiable o si un atacante actúa a través de una sesión autenticada.
El riesgo se desplaza especialmente durante el registro. Si un atacante crea o toma el control de una cuenta antes de que se le asocie una passkey, la organización puede luego autenticar con un alto nivel de seguridad a la persona equivocada. Cuanto más sólido sea el dispositivo de autenticación, más importante se vuelve la integridad de esta etapa.
La cuestión también surge cuando el usuario cambia de dispositivo, algo que ocurre con frecuencia: teléfonos perdidos, robados o reemplazados, nuevos portátiles, cambios de ecosistema. Si el procedimiento de recuperación se basa en una contraseña, un código SMS, un enlace por correo electrónico, una pregunta secreta o un servicio de asistencia, los atacantes pueden apuntar a este camino más débil. Como resume el análisis, «la passkey no ha sido comprometida. El atacante ha eludido el dispositivo».
Evaluar la confianza a lo largo del tiempo
Según el análisis, la autenticación constituye solo un momento del recorrido. Los ataques modernos pueden secuestrar sesiones ya abiertas, comprometer dispositivos de confianza, abusar de privilegios o modificar atributos de cuenta. En estos casos, el mecanismo de autenticación puede haber funcionado exactamente como estaba previsto.
El autor propone, por tanto, complementar las passkeys con la detección de amenazas relacionadas con la identidad, que evalúa continuamente el riesgo. Las características del dispositivo, los atributos de la identidad, los comportamientos anómalos, la información sobre la red o los cambios en la cuenta pueden ayudar a determinar si una identidad sigue siendo digna de confianza. Un usuario conocido, desde un dispositivo establecido y con un comportamiento habitual, no debería verse molestado. Por el contrario, un intento de recuperación desde un dispositivo desconocido o una modificación de atributos críticos puede desencadenar una verificación adicional.
El modelo pasa así de «autenticar una vez, luego confiar» a «establecer confianza, evaluar el riesgo continuamente y reaccionar cuando la confianza cambia». Las passkeys responden a la pregunta de si el usuario posee un identificador legítimo, mientras que la detección de amenazas relacionadas con la identidad se centra en si aún se debe confiar en esa identidad. Las organizaciones deben responder a ambas.
