El Centro Nacional de Seguridad Cibernética del Reino Unido insta a las personas a alejarse de las contraseñas y adoptar claves de acceso, lo que se promueve como un futuro más seguro y sencillo para la seguridad en línea. Pero si bien las claves de acceso pueden reducir los riesgos de piratería informática y phishing, Ian Copeland advierte que también transfieren un mayor control de nuestras identidades digitales a manos de grandes plataformas tecnológicas. Aquí explica cómo funcionan las claves de acceso, por qué la tecnología está ganando impulso y los problemas ocultos que pueden surgir cuando el acceso falla.
Todos hemos olvidado las contraseñas en algún momento. Los hemos reiniciado, reutilizado, almacenado mal y hemos jurado en sitios web exigiendo una letra mayúscula, un número, un símbolo, una runa antigua y una muestra de sangre.
Lo que más odia es la longitud máxima de las contraseñas y los caracteres prohibidos, ambos signos de un proceso de seguridad mal codificado.
Entonces, cuando el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido dice que es hora de dejar las contraseñas y adoptar claves de acceso, la respuesta instintiva es alivio. Bien, elimina la contraseña. Ha tenido una buena racha y ha hecho que todos se sintieran miserables en el proceso.
Y el NCSC tiene razón al decir que las claves de acceso son, desde una perspectiva de seguridad, una mejora importante con respecto a las contraseñas.
Las claves de acceso utilizan criptografía de clave pública, lo que significa que su dispositivo puede demostrar que tiene la clave correcta sin enviarla al sitio web. No es necesario crearlo, escribirlo, recordarlo o escribirlo.
Por supuesto, si el malware o el spyware controlan el dispositivo que utiliza para aprobar los inicios de sesión, tendrá un problema, pero las claves de acceso siguen siendo mucho más difíciles de robar que las contraseñas tradicionales. Incluso si un sitio web que utilizas es vulnerado, el atacante seguirá sin poder acceder a él.
El NCSC ahora dice que deberían ser la primera opción de los consumidores cuando estén disponibles. Su nueva guía dice que las claves de acceso son generalmente más seguras que incluso las contraseñas seguras combinadas con 2FA. También dice que más del 50 por ciento de los usuarios activos de los servicios de Google en el Reino Unido ya tienen uno registrado.
Personalmente estoy de acuerdo en que deberías usarlos, pero hay algunas cosas que debes saber primero.
El antiguo problema de inicio de sesión era claro. Alguien podría adivinar su contraseña, engañarlo para que la ingrese en un sitio falso o robarla de una infracción y luego probarla en cualquier otro lugar para ver a qué pueden acceder.
Las claves de acceso resuelven mucho de eso, haciendo que el inicio de sesión sea más seguro, pero también hacen que la recuperación sea mucho más importante. Si adopta claves de acceso y los detalles de recuperación están obsoletos, es posible que haya reforzado la puerta de entrada y haya perdido la llave de repuesto. En otras palabras, las contraseñas fallan cuando los delincuentes pueden ingresar, mientras que las claves de acceso fallan cuando usted no puede.
En el diseño de un sistema, eliminar un punto débil puede aumentar la presión en otros lugares. Con las claves de acceso, la presión se aleja del cuadro de inicio de sesión y se dirige al sistema de recuperación: la dirección de correo electrónico, el número de teléfono, la cuenta en la nube, el código de respaldo, la lista de dispositivos, el proceso de atención al cliente y el control de políticas que deciden si puede regresar cuando la vida se vuelve desordenada.
Y, a veces, se vuelve desordenado. Pierdes tu teléfono, tu batería se agota en el momento equivocado, tu correo electrónico de recuperación pertenece a una cuenta que dejaste de usar hace tres trabajos, tu número de teléfono cambió, tu ID de Apple está bloqueada, Google cree que algo ha incumplido una política o Microsoft quiere pruebas de un dispositivo que ya no posees.
En ese punto, el proceso de recuperación es tu problema.
Y eso plantea una pregunta mayor: ¿quién controla realmente ese proceso de recuperación?
El incómodo detalle se encuentra dentro de una frase aburrida: “administrador de credenciales”. El NCSC dice que las claves de acceso deben ser creadas, guardadas, almacenadas y administradas por un administrador de credenciales. En lenguaje normal, eso significa lo que hay en su dispositivo que los recuerda y los protege. Para la mayoría de las personas, el NCSC dice que esta será la predeterminada integrada en el dispositivo, como Apple Passwords, Google Password Manager, Samsung Pass o Windows Hello.
Las mismas empresas que ya controlan su teléfono, almacenamiento en la nube, navegador, correo electrónico, fotos y videos, tienda de aplicaciones, copias de seguridad de dispositivos y compras ahora también se están convirtiendo en los custodios predeterminados de su capa de autenticación.
Aquí es donde el debate se vuelve más interesante que “las contraseñas son malas, las claves de acceso son buenas”.
Para la mayoría de las personas, “usar claves de acceso” significa “confiar en Apple, Google o Microsoft para almacenar, sincronizar y recuperar las claves de su vida digital”.
Es probable que esa siga siendo la operación correcta. Probablemente sea justo decir que Apple, Google y Microsoft son mejores para proteger las credenciales criptográficas que la persona promedio para inventar contraseñas memorables.
La pregunta es qué pasa cuando se convierten en la capa de recuperación de todo.
Una historia reciente de Apple ilustra el miedo de manera más clara.
El Dr. Paris Buttfield-Addison, desarrollador de Apple desde hace mucho tiempo, autor y organizador de la conferencia mundial de desarrolladores /dev/, escribió que le habían bloqueado el acceso a su cuenta de Apple después de intentar canjear una tarjeta de regalo comprada en un importante minorista tradicional.
Las consecuencias, según informan AppleInsider y The Register, no se limitaron a una compra fallida. Buttfield-Addison dijo que perdió el acceso a iCloud, iMessage, años de fotos familiares, compras de software, recursos de desarrollador y el funcionamiento normal de sus dispositivos Apple.
La cuenta finalmente se restableció después de cinco días, pero sólo una vez que el equipo de Relaciones Ejecutivas de Apple intervino tras una importante cobertura de prensa. Apple nunca ha explicado por qué estaba bloqueado y la mayoría de los usuarios no tienen periodistas de su lado.
Si su autenticación reside cada vez más dentro del ecosistema de un proveedor, la visión de ese proveedor sobre el estado de su cuenta se convierte en parte de su modelo de seguridad.
¿Quién puede demostrar que eres tú? ¿Quién puede ayudarte a recuperarte? ¿Quién puede decidir que su cuenta ya no está al día y qué parte de su vida está detrás de esa decisión?
Suponiendo que se asegure de que sus detalles de recuperación estén siempre bien mantenidos y que el proveedor elegido se comporte de manera razonable, una recuperación más sólida aún crea otra pregunta incómoda: esta vez en torno a la privacidad.
Gran parte de los consejos sobre las claves de acceso ahora se reducen a garantizar que la información de recuperación no sólo sea precisa sino también completa.
¿Ya le ha proporcionado al proveedor elegido todos los detalles sobre usted? ¿Número de teléfono, correo electrónico alternativo, dirección, pagos, identificación? Si puede responder afirmativamente a esa pregunta, este problema probablemente no le molestará.
Sin embargo, si, como yo, te preocupas más por la privacidad, todo esto te parece una especie de trampa. Muchas personas han pasado muchos años diciéndoles a otros que no compartan demasiado datos personales. Ahora el consejo práctico de seguridad es asegurarse de que las empresas de tecnología más grandes del mundo tengan suficiente información precisa para permitirle volver a su vida.
Este es un argumento en contra del sonambulismo hacia las claves maestras.
El futuro sin contraseñas es probablemente la dirección correcta, pero viene con instrucciones aburridas que nadie quiere leer.
Elija el administrador de credenciales que se adapte a su vida. Para los usuarios centrados en la privacidad, eso puede significar mirar Proton Pass, Bitwarden, Vaultwarden o KeePassXC mientras verifican cuidadosamente cómo cada uno maneja las claves de acceso en los dispositivos y navegadores que realmente usa.
Configure más de una clave de acceso para las cuentas importantes, mantenga una clave de hardware como alternativa para cualquier cosa que realmente no pueda permitirse perder y, antes de migrar algo, asegúrese de que sus detalles de recuperación estén actualizados.
La puerta de entrada es cada vez más fuerte, y eso es bueno, pero antes de entregar las llaves de tu vida digital, vale la pena asegurarte de que el juego de repuesto todavía te pertenece.
Ian Copeland es un tecnólogo, empresario y autor británico con más de dos décadas de experiencia en el diseño de sistemas digitales y de TI empresariales complejos. Fundador de una agencia digital con sede en el Reino Unido y autor de The ExodusDirectiva, se especializa en inteligencia artificial, infraestructura blockchain, computación cuántica e identidad digital. Como corresponsal de Tecnosociología y Futuros de The European, escribe sobre la gobernanza de la IA, los sistemas descentralizados, la automatización, las estructuras de poder digital y las consecuencias sociales a largo plazo de las tecnologías emergentes.
LEER MÁS: ‘¿Podría la IA hacer que las redes sociales parezcan más humanas de lo que son?’. Los acuerdos de Meta con Moltbook y Manus pueden parecer separados, pero juntos apuntan a un futuro en el que el compromiso sintético se vuelve más difícil de detectar, más fácil de escalar y más útil comercialmente, escribe Ian Copeland, quien examina lo que sucede cuando la interacción en línea ya no necesita ser completamente humana para sentirse real.
¿Tiene noticias para compartir o experiencia para contribuir? El europeo acoge con agrado las opiniones de líderes empresariales y especialistas del sector. Póngase en contacto con nuestro equipo editorial para obtener más información.
Imagen principal: Towfiqu barbhuiya/Pexels