La idea de vivir en un mundo en el que ya no debamos preocuparnos por las contraseñas suena muy atractiva. Y Apple, Google y Microsoft han asumido el desafío de hacerlo posible en un futuro no muy lejano. Las tres corporaciones se han comprometido a ampliar el soporte al estándar FIDO, lo que permitirá que los usuarios accedan a todos sus servicios desde cualquier plataforma sin necesidad de utilizar una password para iniciar sesión.
Sin lugar a dudas, esto significará una evolución muy importante en materia de autenticación. Por supuesto, es lógico que muchos aún se muestren reticentes a desprenderse por completo del uso de contraseñas; no obstante, los promotores de esta iniciativa aseguran que la metodología es más segura que otros sistemas de verificación de múltiple factor, y su utilización es mucho más sencilla.
En términos simples, lo que el estándar FIDO permite es utilizar un método físico de autenticación general. Así, si tomamos un smartphone como ejemplo, los usuarios no necesitan más que su método de desbloqueo preferido —huella dactilar, PIN, patrón, FaceID— para acceder a los servicios o plataformas que deseen, sin necesidad de recordar las contraseñas de cada uno.
El sistema funciona porque el móvil almacena una passkey o clave de acceso basada en criptografía de clave pública para acceder a las distintas cuentas. Esa credencial FIDO para el inicio de sesión solo se muestra cuando el usuario desbloquea el teléfono con su modalidad de preferencia, como indicamos anteriormente.
Google, Apple y Microsoft elevan su apuesta por el estándar FIDO
Vale destacar que tanto Google como Apple y Microsoft ya soportan los estándares de la Alianza FIDO en algunos de sus productos. Sin embargo, los usuarios deben iniciar sesión manualmente en cada servicio (app o web) o en cada dispositivo antes de activar el acceso sin clave. Lo que el nuevo compromiso propone es ir un paso más allá con la adición de dos funciones específicas que detallaremos a continuación.
La primera, permitir que los usuarios puedan utilizar su passkey en distintos dispositivos sin necesidad de activar el sistema manualmente para cada cuenta o servicio. Esto es interesante porque incluso abarca la configuración de un nuevo equipo, como cuando cambiamos de smartphone por un modelo más nuevo.
La segunda, que la credencial FIDO permita aprobar desde el móvil el inicio de sesión en otro dispositivo, incluso con un navegador o SO diferente. Así, por ejemplo, si queremos acceder a nuestra cuenta de banco desde Safari en un Mac, podremos aprobar el inicio de sesión desde un móvil Android a través del lector de huellas dactilares.
De acuerdo con la Alianza FIDO, estas nuevas características comenzarán a integrarse en las plataformas de Microsoft, Apple y Google a partir de 2023. De hecho, los de Mountain View ya indicaron que llevarán el inicio de sesión sin contraseñas tanto a Android, como a Chrome y ChromeOS.
La Alianza FIDO asegura que el uso de su credencial o passkey es la gran respuesta al problema que supone la gestión de múltiples contraseñas. Sus promotores indican que el 80% de las filtraciones de datos sucede por el mal uso de claves, y que esto se debe en gran parte a la enorme cantidad de servicios en línea que hoy utiliza cualquier individuo.
Se estima que un usuario hoy puede tener más de 90 cuentas en línea y eso desemboca en otro grave inconveniente: la repetición de contraseñas. Por ende, consideran que utilizar un medio físico —un smartphone, en este caso— como vía obligatoria de autenticación es un método crucial para evitar hackeos y la suplantación de identidad.
Menos contraseñas, más seguridad
Lógicamente, la idea de un futuro sin contraseñas no llega libre de interrogantes. ¿Qué hacemos si perdemos el móvil que utilizamos para autenticarnos en todos nuestros servicios? Según Google, eso no será un problema. "Incluso si pierdes tu teléfono, nuestras claves de acceso se sincronizarán de manera segura con el nuevo dispositivo a partir de la copia de seguridad en la nube, permitiéndote continuar justo desde donde interrumpiste la actividad en el dispositivo anterior", indicaron en su blog.
De todos modos, no termina de quedar muy claro cómo harán los usuarios para autenticarse en un nuevo dispositivo para acceder a la keypass respaldada. No obstante, desde la Alianza FIDO han publicado un "manual" de prácticas recomendadas para no perder el acceso a cuentas en caso de extraviar el medio principal de verificación.
En tal sentido, se recomienda instar a los usuarios a registrar múltiples autenticadores a sus cuentas. Así, si pierden un dispositivo pueden utilizar otro para mantener el acceso. También se indica la posibilidad de implementar llaves USB para almacenar las credenciales FIDO; así como que los propios servicios dispongan métodos de recuperación de cuenta para verificar la identidad de los usuarios.
Ya veremos cómo avanza esta historia. Lo cierto es que las grandes tecnológicas han tomado la iniciativa para lograr el añorado futuro sin contraseñas. Es lógico pensar que el cambio no se dará de la noche a la mañana y que, a la vez, requerirá de un importante proceso de aprendizaje para el público general.