¿Desaparecerán las contraseñas? Las claves de acceso podrían ser una nueva forma de ingresar a los sitios web

Los problemas de las contraseñas actuales

Todos conocemos los problemas que se proponen resolver con las claves de acceso. Casi todos ignoramos los consejos de los expertos en seguridad y utilizamos siempre contraseñas idénticas o similares cuando iniciamos sesión en aplicaciones y sitios web. De hecho, dos de cada tres personas en el país dicen utilizar la misma contraseña para diferentes cuentas en internet, según una encuesta reciente que llevó a cabo Ipsos con 4,000 adultos en el país.

Por si eso fuera poco, con frecuencia elegimos contraseñas demasiado simples, como el nombre de nuestra mascota o de nuestra maestra de kindergarten. Incluso hay quien usa la palabra “contraseña” o la secuencia “12345” como contraseña. Es decir, claves fáciles que los delincuentes pueden descubrir.

Además, cuando elegimos contraseñas complejas que son mucho más difíciles de descifrar —una larga serie de letras mayúsculas y minúsculas, números y símbolos que parecen aleatorios—, nos suele costar mucho recordarlas.

Los administradores de contraseñas, que permiten almacenar y autogenerar contraseñas complejas, pueden aliviar en cierta medida la frustración de los usuarios, a veces con el pago de una suscripción. Sin embargo, muy pocas personas los utilizan.

Los ataques de suplantación de identidad podrían convertirse en algo del pasado

La promesa de las claves de acceso es que no te obligarán a elegir entre una opción cómoda y fácil de usar, y una solución mucho más impenetrable. Garrett Davidson, que trabaja en el área de procesos de autenticación de Apple, les dijo a los desarrolladores que las claves de acceso eliminarán no solo los problemas de pirateo de contraseñas almacenadas en los sistemas informáticos de las empresas, sino también los ataques de suplantación de identidad en los que se engaña a los usuarios para que proporcionen voluntariamente sus datos.

Podrían dejar de ser necesarias las llaves digitales o “tokens” de seguridad y, en ciertos casos, los códigos de autenticación de dos factores que supuestamente agregan otro nivel de protección para complementar las contraseñas. Si bien la técnica de “criptografía de clave pública” en la que se basan las claves es compleja, el director ejecutivo y director de mercadeo de FIDO, Andrew Shikiar, afirma que los consumidores que utilizan el reconocimiento facial o las huellas dactilares para iniciar sesión en sitios y aplicaciones no notarán grandes cambios con respecto a lo que suelen hacer actualmente.

“La diferencia es que ya no hay ninguna contraseña que pueda piratear un delincuente informático, porque incluso una contraseña difícil puede ser manipulada”, advierte.

Según Google, necesitarás lo siguiente para iniciar sesión con una clave de acceso:

Una computadora portátil o de escritorio con Windows 10, MacOS Ventura o ChromeOS 109 o posterior

Un dispositivo móvil con iOS 16 o Android 9 o posterior

Una clave de seguridad de hardware compatible con el protocolo FIDO2

Google agrega que tu computadora o dispositivo móvil también necesitará un navegador compatible, como Chrome 109, Edge 109 o Safari 16 o posterior.

Los dispositivos también deben tener bloqueo de pantalla y Bluetooth si deseas usar una clave de acceso en un teléfono para iniciar sesión en otra computadora. Si aún no has configurado una clave de acceso, pulsa Create a Passkey (Crear una clave de acceso) | Continue (Continuar) y sigue las instrucciones. Se te pedirá que crees una clave de acceso en todos los dispositivos compatibles que utilices para iniciar sesión en tu cuenta de Google. 

No crees una clave de acceso para un dispositivo compartido si no quieres que otros usuarios accedan a tu cuenta, advierte Google.

Puedes usar una clave de acceso para iniciar sesión en otro dispositivo. La primera vez que inicies sesión en una computadora con una clave de acceso, aparecerá un código QR en la pantalla de la computadora que puedes escanear con la cámara de tu teléfono. Este paso no será necesario la próxima vez que intentes iniciar sesión con la misma computadora. Una vez que inicies sesión, tendrás la opción de crear una contraseña para ese dispositivo. Asegúrate de que se trate de tu propio dispositivo antes de hacerlo.

En el caso de Apple, una vez que se configura una clave de acceso —lo que puedes hacer en combinación con el reconocimiento facial Face ID o el sensor de huellas dactilares Touch ID de los dispositivos Apple— se crea una clave digital única que sirve solo para el sitio que deseas visitar. Dado que Apple sincroniza de manera segura las claves de acceso por medio de un sistema que se conoce como iCloud Keychain, están disponibles de inmediato en toda la gama de productos Apple, como Apple TV, iPad, iPhone y computadoras Mac.

Cómo funcionan las claves de acceso

En términos simples, tienes dos claves ocultas que deben coincidir. Una es una clave pública que se encuentra en un servidor de internet. La otra es la clave privada correspondiente y que es exclusiva para tu dispositivo, por lo que alguien debería tener acceso a tu computadora, teléfono o tableta para que se produzca una brecha de seguridad.

“Si alguien te roba la contraseña que usas para todas tus cuentas y tiene tus credenciales, intentará usarla de inmediato en los sitios de los principales bancos, agencias de viajes y minoristas”, explica Shikiar. “Puede hacerlo prácticamente sin costo alguno [y] quizá tendría un 5% de posibilidades de apoderarse de esas cuentas”.

“Pero si te roba la clave pública, no puede hacer nada con ella. Esa clave pública no tiene ningún valor”, señala. “[Dado que] la clave privada permanece en tu dispositivo de forma segura, la única forma de activar esa clave privada es verificándote [en] tu dispositivo”.

¿Desaparecerán algún día las contraseñas?

Pese a la presión pública de los gigantes tecnológicos, las claves de acceso no aparecerán de la noche a la mañana. Lo más probable es que tu banco, tu agente bursátil y otras empresas con las que sueles tratar tengan su propio plazo para hacerlo.

“Cada proveedor de servicios tendrá su propio plan para ponerlo en práctica”, señala Shikiar. También hay que definir algunas cuestiones reglamentarias.

Pero “todas las plataformas ofrecerán asistencia para las claves de acceso en el mercado”, dice. “A fines del 2023 o en el 2024, esta será una opción o experiencia cada vez más normal para iniciar sesión”.

No obstante, sugerir que las contraseñas van a desaparecer es prematuro. Es muy improbable que en un futuro próximo las empresas con las que sueles tratar te digan algo así como “lo sentimos, ya no aceptamos contraseñas”, si es que llegan a hacerlo algún día.

“Siempre tendremos contraseñas hasta cierto punto”, dice Christopher Budd, gerente sénior de Investigación de Amenazas en Sophos, con sede en Gran Bretaña. Esto implica que debemos revisar los métodos eficaces de seguridad, crear contraseñas que sean complejas y no usar la misma en varios sitios.

Nota de redacción: este artículo se publicó el 14 de julio del 2022. Ha sido actualizado con nueva información.