De a poco, los gigante tecnológicos van apostando a un mundo sin contraseñas donde se implementan otras estrategias de autenticación consideradas más seguras. Tal es el caso de Microsoft, que en septiembre del año pasado anunció la posibilidad de que todos los usuarios de cuentas con la compañía podrían eliminar sus claves, si así lo deseaban.
Esto es posible gracias al uso de Microsoft Authenticator, Windows Hello, una clave de seguridad o el código de verificación enviado al celular o correo electrónico para iniciar sesión en las aplicaciones y servicios favoritos.
Ahora Google también se prepara para ir en esa dirección, ya que plantea un sistema basado en claves de acceso. Se trata de una nueva propuesta que vincula una clave privada con la cuenta personal del usuario y permite sincronizarla entre dispositivos para su uso en las webs.
La Alianza FIDO (Fast Identity Online), a la que están suscritas algunas de las empresas tecnológicas más importantes y cuyo objetivo es crear nuevos estándares seguros para la gestión de servicios digitales, ha propuesto un nuevo enfoque de seguridad que deja atrás tanto la contraseña como la autenticación de dos factores.
Se trata de las credenciales multidispositivo, capaces de sortear el phishing que tanto ha crecido en el último tiempo.
En este caso, se trata de una propuesta que guarda en el dispositivo (móvil, ordenador o tableta) información criptográfica, una clave privada que genera una firma que, posteriormente, comprueba un servidor que efectivamente se ha creado con dicha clave privada cuando se intenta acceder a un sitio web.
En el caso de Android, las claves de acceso se guardan en la cuenta de Google, lo que permite que esta información se sincronice entre dispositivos, útil si, por ejemplo, se cambia a un nuevo teléfono móvil.
El usuario todavía tendrá que ingresar en su cuenta con la contraseña, pero la evitará en los servicios web.
En la práctica, este proceso funciona de forma similar a un gestor de contraseñas, y se conoce a nivel comercial como clave de acceso, como menciona la alianza en su informe de marzo de 2022 sobre cómo FIDO aborda una gama completa de casos de uso.
“Al igual que los administradores de contraseñas con las contraseñas, la plataforma del sistema operativo subyacente sincronizará las claves criptográficas que pertenecen a una credencial FIDO de un dispositivo a otro. Esto significa que la seguridad y disponibilidad de la credencial sincronizada de un usuario depende de la seguridad del mecanismo de autenticación de la plataforma del sistema operativo subyacente (Google, Apple, Microsoft, etc.) para sus cuentas en línea, y del método de seguridad para restablecer el acceso cuando todo (antiguo ) se perdieron los dispositivos”, se lee en uno de los documentos de FIDO.
El año pasado Apple anunció una nueva función de autenticación, llamada Passkeys, que les permitiría a los usuarios utilizar FaceID o TouchID para iniciar sesión en las webs compatibles con este sistema. De este modo, no necesitarían recurrir a una contraseña ya que utilizarán un sistema biométrico.
El anuncio se hizo en junio del año pasado, en la sesión para desarrolladores titulada Move beyond passwords (Ir más allá de las contraseñas), que ofreció Apple en el marco de su evento anual (WWDC 21) para desarrolladores.
Según explicó la compañía, también se basa en el protocolo promovido por la Alianza FIDO, a la que Apple se unió en febrero de 2020 para mejorar la autenticación online.
Passkeys evita tener que recordar una clave a la hora de iniciar sesión en una web, siempre y cuando la página en cuestión ofrezca soporte para esta tecnología.
Junto al nombre de usuario se vincula el reconocimiento facial de FaceID o la huella dactilar con TouchID en lugar de una contraseña.
Su soporte ya se ha incluido en iOS, en la segunda beta de la versión 15.5. Por su parte, Google trabaja por incluir esta nueva iniciativa, como han identificado en 9to5Google, al verificar algunas líneas de código de la última versión de los Servicios de Google Play (versión 22.15. 14).
