Passkey cambia la forma de iniciar sesión, no solo reduce el ingreso de una contraseña
Passkey es un método de inicio de sesión basado en el estándar FIDO que utiliza claves criptográficas en lugar de contraseñas tradicionales. Los usuarios aún necesitan verificar su identidad con huellas dactilares, reconocimiento facial, PIN o desbloqueo de dispositivos, pero ya no tienen que ingresar una contraseña reutilizable en los sitios web.
Los sitios web almacenan claves públicas, no tu contraseña
Las contraseñas tradicionales son una cadena de texto secreto que puede ser robada por sitios de phishing o repetida en otros sitios tras una filtración de datos. Al crear un Passkey, se genera un par de claves pública y privada; el servicio almacena la clave pública, mientras que la clave privada queda en el dispositivo del usuario o en el Proveedor de Passkey. Al iniciar sesión, se completa la verificación criptográfica, no se envía una contraseña.
Esto también significa que si la base de datos del sitio web se filtra, los atacantes no obtendrán directamente una contraseña reutilizable en otros sitios. El valor de Passkey en la protección contra Credential Stuffing proviene de su independencia de secretos compartidos reutilizables.
Es más resistente al phishing, pero no carece de límites
Passkey establece una asociación con la fuente del servicio correcta. Las páginas de inicio de sesión falsas que se parecen al original no pueden requerir que ingreses manualmente una cadena de texto secreto como lo hacen las contraseñas tradicionales. Debes tener en cuenta que si la misma cuenta aún tiene autenticación por SMS, un proceso de recuperación débil o una entrada que puede ser fácilmente eludida por ingeniería social, los atacantes pueden optar por atacar a través de canales de recuperación más débiles.
Prepara un método de recuperación antes de activarlo
Cuentas de correo electrónico principales, almacenamiento en la nube, herramientas de pago, cuentas de trabajo o cuentas principales en redes sociales son generalmente buenas candidatas para considerar Passkey. Pero antes de activarlo, asegúrate de tener un método de recuperación confiable, como un dispositivo de respaldo, una clave de seguridad o un código de recuperación, y verifica si el servicio aún mantiene entradas de inicio de sesión más débiles.
Piensa cuidadosamente al cambiar de teléfono o perder un dispositivo
Passkey difiere entre sincronización y vinculación a dispositivos. La sincronización es más adecuada para usuarios que utilizan múltiples dispositivos; la vinculación puede depender más de un dispositivo específico o clave de seguridad. Después de activarlo, aún debes verificar el proceso de recuperación de la cuenta, de lo contrario, perder un dispositivo podría resultar en una dificultad adicional para iniciar sesión.
Los datos biométricos generalmente no se envían a los sitios web; las huellas dactilares o el reconocimiento facial se verifican localmente en tu dispositivo. Lo que recibe el sitio web es el resultado de la verificación, no la imagen de tu huella dactilar o datos faciales.