Passkeys: Cómo Utilizarlas para Mejorar la Seguridad de tus Cuentas

¿Qué son las passkeys o llaves de paso?

En esta guía te voy a hablar a fondo sobre las passkeys o, como las conocemos en español, llaves de paso. Te explico qué son exactamente, cómo funcionan y qué papel desempeñan en el ámbito de la seguridad, especialmente en la gestión de cuentas de usuarios. Además, te hablo sobre cómo utilizarlas en cada uno de tus dispositivos.

Vamos a empezar por el principio. ¿Qué son las passkeys? En el 2022, Google y Apple anunciaron que empezarían a implementar un nuevo sistema que simplificaría el inicio de sesión en cuentas de usuarios de Internet. Lo que lanzaron fueron las passkeys, o llaves de paso, unas credenciales digitales que se utilizan para validar la identidad del usuario.

Para poder crear una de estas credenciales, primero es necesario identificarse con otro método alternativo, como una contraseña y un usuario. Entonces, si el servicio en cuestión lo permite, es posible generar una llave de paso que podrá utilizarse en el futuro en sustitución de la contraseña. También es posible que la passkey se emplee en un método de autenticación de doble factor.

Actualmente, la mayoría de sistemas operativos y gestores de contraseñas dan soporte a las passkeys. En función del método que se emplee para su almacenaje, es posible asociarlas a varios dispositivos gracias a la sincronización en la nube. Por ejemplo, si creas una llave de paso y la guardas en el gestor de contraseñas de Google Chrome, estará disponible en cualquier dispositivo donde se haya instalado este navegador. En el caso de que el almacén esté ubicado localmente en el dispositivo, solo se podrá utilizar en este. De hecho, esto es lo que sucede en Windows.

Las ventajas de utilizar passkeys en vez de contraseñas

Dependiendo del servicio, las passkeys se postulan como un reemplazo de las contraseñas. De hecho, hay plataformas que permiten iniciar sesión sin ni siquiera introducir el nombre de usuario. Ahora bien, esta no es la única ventaja que proporcionan las llaves de paso a los usuarios.

Aquí tienes un listado con sus puntos fuertes:

• Inicio de sesión rápido. Por ejemplo, en Canva, si has creado una passkey, vas a poder iniciar sesión con un solo clic. Solo hay que introducir el correo electrónico y el sitio web se encargará de leer la llave de paso que tienes almacenada en el gestor de contraseñas.
• Utilidad como sistema de doble factor. Hay otras empresas que emplean las passkeys como el segundo paso en la verificación de la identidad. Es el caso de Google que, después de introducir la contraseña, permite confirmar el acceso con la llave de paso almacenada. Así no hace falta recibir un SMS o responder con un Sí en un dispositivo asociado.
• Más resistentes al phishing. Las passkeys están asociadas al sitio web legítimo de cada plataforma. Si habitualmente inicias sesión con este sistema en un servicio y, de repente, esta opción deja de estar disponible, es posible que no estés en la página real. De hecho, la llave de paso en este caso simplemente no funciona.
• Estándar abierto. La compatibilidad de las passkeys es altísima gracias a que se trata de un estándar abierto. Cualquier empresa que desarrolle un sistema operativo, un navegador o un gestor de contraseñas va a poder darles soporte.
• Asociadas a datos biométricos. Otra ventaja de las passkeys es que se pueden asociar a datos biométricos. Por ejemplo, cuando se usan en un iPhone o un Android, el dispositivo solicita el desbloqueo de la llave de paso mediante el Face ID o el lector de huellas, respectivamente. De este modo, es posible iniciar sesión con datos biométricos en sitios web y en apps, simplificando todavía más el proceso. Si hablamos de ordenadores, en macOS se emplea el lector de huellas, mientras que en Windows es Windows Hello el encargado de identificar al usuario (lector de huellas o lector facial certificado).

Aunque las llaves de paso tienen enormes beneficios para los usuarios, algunas empresas se están aprovechando para encerrar al usuario dentro de sus respectivos ecosistemas. Por ejemplo, si se guardan todas en la app de Contraseñas de Apple, los usuarios terminan dependiendo de su iPhone para iniciar sesión, incluso si utilizan un PC con Windows. Lo mismo pasa con el gestor de contraseñas de Google, que te obliga a instalar Chrome en todos los dispositivos.

La solución no es otra que crear varias passkeys para un mismo servicio en distintos almacenes. Ahora bien, ¿dónde se guardan las passkeys? Veamos.

¿Dónde se pueden almacenar las passkeys?

Para guardar las passkeys, es necesario contar con un almacén de claves. Como ya te he explicado más arriba, Google, Apple y Microsoft han introducido los cambios necesarios para dotar a sus sistemas y dispositivos de compatibilidad integral para las llaves de paso. No obstante, cada empresa ha elegido un tipo de almacén distinto para el almacenaje de las passkeys. Esto nos ayuda a entender mejor en qué sitios es posible guardarlas.

Gestor de contraseñas

Apple fue una de las primeras en dar soporte a las passkeys. Lo hizo introduciendo la compatibilidad en el Llavero de iCloud. Actualmente, ese servicio de sincronización de contraseñas se ha convertido en una aplicación independiente, conocida como Contraseñas. Además de llaves de paso, es posible almacenar en ella contraseñas y códigos OTP. Todas las passkeys que creas en un iPhone se sincronizan con el Mac y el iPad gracias a iCloud. También funcionan con la extensión Contraseñas de iCloud configurada con iCloud para Windows.

Como ves, Apple apostó por crear un gestor de contraseñas que sincronizara las passkeys entre varios dispositivos. Ahora bien, esto es algo que también hacen 1Password, LastPass, Proton Pass y Bitwarden, algunos de los gestores de contraseñas más populares entre los usuarios.

En el navegador

Aquí va el caso de Google. En realidad, las contraseñas de Chrome van a pasar al Gestor de contraseñas de Google, que no solo se integra en el navegador, sino en Android. Es cierto que este enfoque es parecido al de Apple, pues realmente estamos ante un gestor de contraseñas. No obstante, las passkeys se administran desde Chrome, así que podemos decir que están integradas en el explorador de Google.

En Android, la situación es la misma. En iOS, para tener acceso a las llaves de paso creadas en el gestor de contraseñas de Google, es necesario instalar Chrome y activarlo en los ajustes de autorrelleno de contraseñas. Tal y como informa el iPhone, Chrome admite tanto contraseñas como llaves de paso.

En un almacén local

Otra posibilidad es que las llaves de paso se almacenen de forma local. Es lo que pasa en Windows. El principal problema es que, si tienes varios equipos, será necesario que crees una passkey en cada uno de ellos. Todos los navegadores admiten el inicio de sesión con llaves de paso desde dispositivos remotos. Así que, técnicamente, podrías tener todas tus passkeys en un iPhone y, con tan solo escanear el código QR proporcionado por el navegador, emplearlas para acceder a cada servicio.

En una llave de seguridad por hardware

Las llaves de seguridad por hardware son dispositivos físicos en los que se almacenan claves y códigos para el inicio de sesión. Estos pueden almacenar passkeys que serán leídas por el sistema o el navegador, siempre y cuando estén conectadas físicamente al equipo.

Creando passkeys en todos los dispositivos, paso a paso

Después de toda la teoría, pasamos a la parte práctica. Te voy a mostrar cómo crear una llave de paso en Chrome, puesto que es el navegador más utilizado actualmente. Para hacerlo, voy a utilizar la web passkeys.io. Se trata de un sitio de pruebas desde el cual vas a poder generar una llave de paso y almacenarla en tu dispositivo o gestor de contraseñas.

Generalmente, con Chrome las llaves de paso van a ir a parar al gestor de contraseñas de Google. Una vez estés en la web que te indico más arriba, presiona en Don’t have an account?.

Entonces, introduce tu correo electrónico. Te lo puedes inventar, porque en realidad únicamente se trata de un sitio web de pruebas. Entonces, presiona en Continue.

Finalmente, presiona en Create a passkey.

Aquí la cosa se pone interesante. Chrome te da la opción de guardar la passkey en el gestor de contraseñas de Google, pero también asociarla a Windows Hello. Este último método es el mismo que ofrece Microsoft Edge.

Si te decantas por la primera opción, basta con presionar en Siguiente después de confirmar que el correo es correcto.

Cuando hayas terminado el proceso, en la web de pruebas aparecerá un mensaje en el que se te indica que has creado una cuenta. Como ves, se trata de una cuenta sin contraseña asociada. Para acceder a ella, tendrás que usar las llaves de paso que hayas creado. Por cierto, es posible crear varias passkeys para una misma cuenta. De hecho, en passkeys.io te permite crear una adicional. Solo hay que presionar en Create passkey.

Yo he aprovechado esa opción para crear una llave de paso adicional asociada a Windows Hello. Tendrás que identificarte con la huella digital, con el PIN o con el desbloqueo facial, si tu equipo cuenta con él. También es posible usar otro dispositivo, que bien podría ser un dispositivo móvil o una llave de seguridad por hardware.

Por cierto, las llaves de paso del gestor de contraseñas de Google no se pueden gestionar. Están ahí, pero no son visibles. Por el contrario, si las creas en Windows, sí que hay un apartado para eliminarlas. Está en Configuración > Cuentas > Llaves de acceso.

En cuanto al inicio de sesión, en la misma web de pruebas vas a poder probarlo. Una vez que hayas creado la llave de paso, puedes usar el botón Sign in with a passkey.

Chrome mostrará el siguiente mensaje, desde el cual es posible elegir la llave de paso en cuestión.

Tras autenticarse con la huella digital, se concede el acceso a la cuenta.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!