¿Qué es una clave de acceso?

• Glosario IAM
• ¿Qué es una clave de acceso?

Una clave de acceso es una moderna tecnología de autenticación sin contraseñas que permite a los usuarios acceder a cuentas y aplicaciones usando una clave criptográfica en lugar de una contraseña. Una clave de acceso aprovecha la biometría (huella dactilar, reconocimiento facial, etc.) para confirmar la identidad del usuario.

¿Cuál es la diferencia entre una clave de acceso y una contraseña?

A pesar de tener nombres parecidos, una clave de acceso no es lo mismo que una contraseña.

¿Qué es una contraseña?

Una contraseña es una cadena de caracteres que los usuarios deben introducir para acceder a una página web o aplicación, normalmente junto con un nombre de usuario. Para evitar filtraciones de datos y robo de cuentas, el NIST recomienda lo siguiente a la hora de crear una contraseña:

• Que tenga un mínimo de ocho caracteres
• Que sea posible usar caracteres especiales, pero sin requisitos especiales para usarlos
• Que se restrinja el uso de caracteres secuenciales o repetitivos (p. ej., 12345 o aaaaaa)
• Que se restrinja el uso de palabras específicas del contexto (p. ej., el nombre de la página)
• Que se restrinja el uso de contraseñas usadas habitualmente (p. ej., "qwerty" o "contraseña123") o palabras de diccionario

¿Qué es una clave de acceso?

Una clave de acceso es una nueva tecnología de autenticación que usa la criptografía de clave pública para permitir a los usuarios acceder a páginas web y aplicaciones sin tener que introducir una contraseña. En su lugar, el usuario se autentica de la misma manera que en su teléfono o tableta: con la huella dactilar, el reconocimiento facial y otro elemento biométrico; usando un patrón o indicando un número PIN. Por su mayor comodidad, la mayoría de las personas usan la autenticación biométrica.

En lugar de crear una contraseña para acceder a una cuenta, el usuario genera una clave de acceso (que realmente es un par: una privada y otra pública) usando un "autenticador". Este "autenticador" puede ser un dispositivo (como un teléfono o tableta), un navegador web o un gestor de contraseñas que sea compatible con la tecnología de las claves de acceso.

Antes de generar una clave de acceso, el autenticador requerirá que el usuario se identifique con un PIN, un patrón o biometría. Después, el autenticador enviará la clave pública (que equivale aproximadamente a un nombre de usuario) al servidor web de la cuenta para su almacenamiento y almacenará de forma segura la clave privada localmente. Si el autenticador es un teléfono u otro dispositivo, la clave privada se almacenará en el llavero del dispositivo. Si el autenticador es un gestor de contraseñas, la clave privada se almacenará en el almacén cifrado del gestor de contraseñas.

¿Cómo funciona una clave de acceso?

Para crear una clave de acceso nueva, el usuario accede como de costumbre a su cuenta y después habilita la opción de la clave de acceso en la pantalla de ajustes de seguridad de la página web o aplicación. Luego, la página web o aplicación pide al usuario que guarde la clave de acceso asociada a su dispositivo. El navegador web o el sistema operativo requerirá la autenticación biométrica para aprobar la solicitud y la clave de acceso se almacenará localmente.

En los accesos posteriores a la página web, esta le pedirá al usuario que use la clave de acceso desde el dispositivo para acceder, en lugar de una contraseña. Si el navegador web es compatible con la sincronización de claves de acceso entre dispositivos, la clave de acceso estará disponible en todos los dispositivos.

Si el usuario usa un dispositivo que no tiene la clave de acceso para la página web o aplicación en cuestión, puede que tenga la opción de usar otro dispositivo. Si el navegador es compatible con la autenticación entre dispositivos, mostrará un código QR que se puede escanear con un dispositivo móvil para completar el acceso. La autenticación entre dispositivos también implica el uso del Bluetooth para asegurar la proximidad.

Esto es lo que ve el usuario final. Vamos a echar un vistazo a lo que ocurre en segundo plano, al nivel del servidor. Cuando un usuario final intenta acceder a su cuenta con una clave de acceso, el servidor de la cuenta envía un "reto" al autenticador, que consiste en una cadena de datos. El autenticador usa la clave privada para resolver el reto y envía de vuelta una respuesta, un proceso que se conoce como "firmar" los datos y verificar la identidad del usuario.

Observe que en ningún momento durante este proceso el servidor de la cuenta tiene que acceder a la clave privada del usuario, lo que significa que nunca se transmite información privada. Esto es posible gracias a que la clave pública (que el servidor nunca almacena) está matemáticamente relacionada con la clave privada. El servidor solo necesita la clave pública y los datos firmados para verificar que la clave privada pertenece al usuario.

¿Son más seguras las claves de acceso?

Las claves de acceso son más seguras que las contraseñas por varios motivos:

• Para que las contraseñas funcionen, los servidores de las cuentas tienen que almacenarlas (o al menos sus hashes) para poder comparar los datos almacenados con la contraseña que el usuario introduce. Como ya se ha mencionado en la sección anterior, la tecnología de las claves de acceso no requiere que los servidores de las cuentas almacenen claves privadas de los usuarios, solo sus claves públicas. Si el servidor de una cuenta sufre una filtración, los atacantes solo pueden acceder a claves públicas, que son inservibles si no van acompañadas de las claves privadas.
• La mayoría de las personas tienen malas prácticas con las contraseñas. Reutilizan contraseñas en varios sitios o utilizan contraseñas demasiado cortas o que contienen palabras de diccionario o información biográfica fácil de adivinar. Además, en lugar de utilizar un gestor de contraseñas, las guardan en notas adhesivas o en archivos de texto sin cifrar. En cambio, las claves de acceso las genera el autenticador del usuario, por lo que siempre son muy complejas y únicas para cada usuario y cuenta en todo momento.
• Además, muchas personas tampoco protegen sus cuentas con la autenticación de dos factores (2FA). Las claves de acceso dependen de la 2FA por diseño: para usar una clave de acceso, el usuario final debe tener cerca su autenticador, lo que cumple el criterio de "algo que usted es" (la biometría) y "algo que usted tiene" (el autenticador).
• A diferencia de las contraseñas, las claves de acceso no pueden ponerse en riesgo en estafas de phishing, ya que es imposible engañar a un usuario para que introduzca una clave de acceso en un sitio falso.

¿Las claves de acceso reemplazarán a las contraseñas y los gestores de contraseñas?

Aunque es posible que las claves de paso acaben reemplazando a las contraseñas, no lo harán con los gestores de contraseñas. Al contrario, los gestores de contraseñas se volverán más importantes. Esto se debe a que las claves de acceso están vinculadas a un autenticador. Los usuarios tienen la opción de usar un dispositivo (normalmente un teléfono, aunque también tabletas, portátiles u ordenadores de escritorio) o un gestor de contraseñas compatible con las claves de acceso.

Al principio, la opción más lógica parecer ser usar un teléfono como autenticador, ya que siempre están con nosotros. No obstante, como muchas personas usan varios dispositivos, esto se convierte rápidamente en un inconveniente. Si un usuario quiere acceder a una cuenta o aplicación en un dispositivo diferente (como su tableta o portátil), tendrá que generar un código QR en ese dispositivo, después escanearlo con el autenticador y finalmente usar la biometría para acceder.

Un gestor de contraseñas como Keeper, que será compatible con las claves de acceso a principios de 2023, simplificará en gran medida este proceso al vincular la clave de acceso a una aplicación en lugar de a un dispositivo físico.

¿Qué empresas admiten las claves de acceso?

En el momento de escribir estas líneas, el número de páginas web y aplicaciones que admiten esta tecnología sigue siendo reducido. Apple, Microsoft, Best Buy, GoDaddy, PayPal, eBay y Kayak están actualmente entre las principales en admitir las claves de acceso.

No obstante, debido a su comodidad y seguridad, las claves de acceso están ganando en popularidad. Google aplicó la compatibilidad con claves de acceso a Chrome stable M108 para Windows, Android y macOS en diciembre de 2022, con compatibilidad para iOS y Chrome OS en preparación, además de un nuevo conjunto de API que llevará la compatibilidad con las claves de acceso a las aplicaciones de Android.