Las claves de acceso de Google son una obviedad. Los has encendido, ¿verdad?

A estas alturas, es probable que haya escuchado que finalmente llegaron las cuentas de Google sin contraseña. El reemplazo de las contraseñas se conoce como “claves de acceso”.

Existen muchos conceptos erróneos acerca de las claves de paso, tanto en términos de su usabilidad como de los beneficios de seguridad y privacidad que ofrecen en comparación con los métodos de autenticación actuales. Eso no es sorprendente, dado que las contraseñas se han utilizado durante los últimos 60 años y las claves de acceso son muy nuevas. En pocas palabras, con unos pocos minutos de capacitación, las claves de acceso son más fáciles de usar que las contraseñas, y en cuestión de meses, una vez que una docena de socios de la industria terminen de implementar las piezas restantes, usar claves de acceso será aún más fácil. . Las c laves de acceso también son mucho más seguras y preservan la privacidad que las contraseñas, por razones que explicaré más adelante.

¿Qué es una clave de acceso de todos modos?

Este artículo proporciona una introducción para que las personas comiencen con la implementación de claves de acceso de Google y explica los fundamentos técnicos que las convierten en una forma mucho más fácil y efectiva de protegerse contra la usurpación de cuentas. Un puñado de sitios más pequeños, específicamente, PayPal, Instacart, Best Buy, Kayak, Robinhood, Shop Pay y Cardpointers, han implementado varias opciones para iniciar sesión con claves de acceso, pero esas opciones son más pruebas de concepto que soluciones funcionales. Google es el primer servicio en línea importante que ofrece claves de acceso, y su oferta es lo suficientemente refinada y completa como para recomendar a las personas que las activen hoy.

En primer lugar, es útil saber exactamente qué es una clave de acceso y cómo funciona. Apple proporciona una descripción útil aquí de los fundamentos técnicos de las claves de paso:

Las claves de acceso se basan en el estándar WebAuthentication (o “WebAuthn”), que utiliza criptografía de clave pública. Durante el registro de la cuenta, el sistema operativo crea un par de claves criptográficas único para asociarlo con una cuenta para la aplicación o el sitio web. Estas claves son generadas por el dispositivo, de forma segura y única, para cada cuenta.

Una de estas claves es pública y se almacena en el servidor. Esta clave pública no es un secreto. La otra clave es privada y es lo que se necesita para iniciar sesión. El servidor nunca aprende cuál es la clave privada. En los dispositivos Apple con Touch ID o Face ID disponibles, se pueden usar para autorizar el uso de la clave de acceso, que luego autentica al usuario en la aplicación o el sitio web. No se transmite ningún secreto compartido y el servidor no necesita proteger la clave pública. Esto hace que las claves de acceso sean credenciales muy fuertes y fáciles de usar que son altamente resistentes al phishing. Y los proveedores de plataformas han trabajado juntos dentro de FIDO Alliance para asegurarse de que las implementaciones de claves de acceso sean compatibles entre plataformas y puedan funcionar en tantos dispositivos como sea posible.

Las especificaciones de FIDO requieren que, independientemente del mecanismo de sincronización que elija un usuario (ya sea de Apple, Microsoft, Google o un tercero), proporcione cifrado de extremo a extremo de la misma forma en que lo hace actualmente la sincronización del llavero y la contraseña de iCloud con los navegadores (en Chrome, este E2EE debe estar encendido). Esto significa que el proveedor de la nube desconoce la clave privada. La clave privada reside en el dispositivo y solo se puede acceder desbloqueando el dispositivo mediante un PIN de desbloqueo, una huella digital o un escaneo facial.

Las claves de acceso de la cuenta de Google son compatibles con tantas plataformas que no existe una forma única de usarlas. La forma en que una persona que usa principalmente Android y Linux inicia sesión se verá diferente y usará un flujo diferente al de una persona que usa todas las plataformas de Apple o una persona que usa iOS o Android con Windows. No hay forma de enumerar las instrucciones paso a paso para todas las plataformas en un artículo. En cambio, este manual utiliza una combinación de dispositivos y sistemas operativos, específicamente un Pixel 7, un iPhone 13, un iPad de novena generación, un ThinkPad con Windows 10 y un MacBook Air, con el objetivo de tocar al menos el funcionamiento básico de todos. de ellos.

¿Qué está haciendo esta clave de paso en mi Pixel?

Cuando me desperté el miércoles, el día en que Google lanzó las cuentas de Google sin contraseña, mi Pixel 7 ya tenía una contraseña creada automáticamente. No me di cuenta hasta que accedí g.co/contraseñasque es un atajo para myaccount.google.com/signinoptions/passkeys, la página que Google ha instalado para administrar las claves de acceso de la cuenta. Para mi sorpresa, la llave ya estaba allí. Dado que mi cuenta se inscribió en Google’s Programa de Protección Avanzada (APP), esta nueva clave apareció inmediatamente encima de las claves de autenticación de dos factores (2FA) que la aplicación requiere para iniciar nuevos navegadores que inician sesión.

Como indica la imagen, estaba usando Chrome en la MacBook Air para acceder a la página, aunque mi navegador preferido en estos días es Firefox. La razón: Firefox aún no admite claves de acceso en macOS, aunque eso cambiará, probablemente más temprano que tarde. Finalmente, decidí continuar usando Safari durante el resto del proceso porque las claves de acceso creadas con ese navegador en macOS e iOS se sincronizan automáticamente a través del llavero de iCloud. Por el momento, las claves de acceso creadas con Chrome y Edge en las plataformas de Apple no lo son.

Al acceder a la misma página de g.co/passkeys en Safari, me desplacé hasta la parte inferior, hice clic en “Crear una clave de acceso” y recibí un cuadro de diálogo que brinda una breve explicación de las claves de acceso. A partir de ahí, hice clic en el botón “Continuar”. La siguiente pantalla que apareció explicaba que estaba guardando una clave de acceso que se almacenaría en iCloud. Una vez que hice clic en “listo”, la sección de claves de acceso de myaccounts.google.com se actualizó para indicar que se había creado una nueva clave de acceso.