Las Passkeys reemplazarán muy pronto a las contraseñas tradicionales

Compañías como Google, Apple, Microsoft o la FIDO Alliance pretenden eliminar y sustituir las contraseñas tradicionales implementando el sistema Passkeys con doble factor de autenticación como nuevo estándar de acceso. Las contraseñas fueron pensadas para dar acceso a las personas mediante un concepto fácilmente recordable. Con el paso del tiempo, hemos ido acumulando una cantidad ingente de contraseñas que nos permiten el acceso a infinidad de servicios distintos.

La democratización de la tecnología y la necesidad de seguridad en las cuentas de acceso a los servicios trajeron consigo la creación de un administrador de contraseñas que nos ayudase a almacenar toda la información para acceder a los distintos sitios web.

La evolución de los administradores de contraseñas pasa ahora por las Passkeys. Este nuevo sistema de contraseñas funciona de manera que nuestras claves pasan a ser criptográficas.

¿Cómo funcionan las Passkeys?

Google ha presentado algunos detalles sobre su propuesta de cómo funcionará con este sistema en el que el navegador Chrome ya dispone de acceso al administrador de contraseñas. A priori, los Passkeys mostrarán una ventana emergente en la que podrás elegir alguna de tus cuentas a las que exigirá una autenticación biométrica, como las huellas dactilares o el reconocimiento facial del teléfono móvil. A partir de aquí, el dispositivo hará uso de la clave de paso y será redireccionado al sitio web deseado. De esta forma se facilitarán los accesos web de una forma rápida y segura.

Tal y como explican en Webauthn, API de autenticación web desarrollada por W3C y FIDO con la participación de Google, Mozilla y Microsoft entre otros, la mayoría de personas todavía no emplean accesos con 2FA (” Factor Authentication). Este nuevo sistema estándar permite a los servidores web registrar y autenticar empleando criptografía isométrica en vez de una contraseña tradicional. Por lo tanto, el sistema requiere de dos contraseñas para poder acceder al servicio: una privada y otra pública.

Doble Factor de Autenticación

La clave pública está almacenada en la nube por un servidor. En cambio, la clave privada se encuentra de forma local en una plataforma de confianza de nuestro dispositivo, pero esta puede ser robada. El sistema permite acceder haciendo uso de las claves biométricas o contraseñas de tu dispositivo en vez de la contraseña tradicional del sitio web. De esta forma, cuando intentamos acceder, el servidor enviará la clave pública al navegador. Es entonces cuando el navegador nos exigirá la clave privada que deberemos validar a través de nuestros métodos de autenticación, ya sean la cara o las huellas dactilares. Esta clave privada será enviada de vuelta al servidor del sitio web y se propiciará el acceso.

Las Passkeys facilitan el acceso, que se realizará de forma exclusiva, automática y sin depender de completar un formulario de texto tradicional. De esta manera, la forma de trabajar que tiene este moderno sistema elimina la necesidad de que las personas sean las responsables de ordenarle al administrador de contraseñas que las genere, almacene y recupere en función del sitio al que deseamos acceder.

Carencias de un nuevo sistema

De momento, todos los navegadores siguen admitiendo y muestran los formularios tradicionales de acceso. Para implementar esta nueva solución será necesario compatibilizar el sistema de Passkeys en todos los navegadores, administradores de contraseñas y sitios web para poder funcionar con ellos

Google adelanta que las implementaciones del sistema Passkeys serán estables para Chrome y Android en unos pocos meses, pero reconoce no haber habilitado su acceso a los desarrolladores por ser demasiado pronto. Por su parte, el gigante tecnológico tiene la misión de generar una API capaz de comunicarse con los ecosistemas de terceros. Para lo usuarios resultará de vital importancia la transferencia de datos de acceso entre, por ejemplo, que un iPhone pueda enviar y recibir información desde Chrome o que este proceso se realice a la inversa, siendo un Android quien envié las passkeys a Safari.