La realidad incomoda de los Passkeys: ni tan seguros, ni tan vulnerables

Cuando todo el marketing y el bombo alrededor de una tecnología de seguridad prometen el fin de nuestros problemas, mi detector de humo se dispara automáticamente. El último ejemplo lo tenemos con un supuesto «descubrimiento crítico» sobre las claves de acceso (passkeys) publicado recientemente por SquareX, una startup que —no por casualidad— vende servicios de seguridad para navegadores.

Su investigación «Passkeys Pwned» afirma haber encontrado una vulnerabilidad devastadora que «rompe el mito» de que las passkeys son imposibles de robar. Pero cuando rascas bajo la superficie, lo que encuentras es una mezcla de malentendidos técnicos y, seamos sinceros, una buena dosis de marketing.

¿Qué son realmente las passkeys y por qué importan?

Las passkeys representan uno de los avances más prometedores en ciberseguridad de los últimos años. A diferencia de las contraseñas tradicionales, funcionan mediante criptografía de clave pública-privada: el sitio web almacena tu clave pública mientras que la privada nunca sale de tu dispositivo.

El proceso es elegante: cuando intentas iniciar sesión, el sitio te envía un desafío aleatorio, tu dispositivo lo firma con la clave privada, y el sitio verifica la firma con tu clave pública. Sin contraseñas que memorizar ni escribir. Y lo más importante: no hay credenciales que puedan filtrarse en una brecha de datos.

Apple, Google, Microsoft y miles de empresas han apostado fuerte por esta tecnología, y con razón. Es genuinamente más segura que las contraseñas tradicionales en muchos aspectos.

El supuesto «ataque» que tiene a todos hablando

La presentación «Passkeys Pwned» en la conferencia Defcon describió un escenario en el que una extensión maliciosa de navegador secuestra el proceso de registro de una passkey. En pocas palabras, si tienes malware en tu navegador, este puede crear una passkey controlada por el atacante en lugar de por ti.

SquareX afirma dramáticamente:

«Este descubrimiento rompe el mito de que las claves de acceso no pueden ser robadas, demostrando que ‘robar claves de acceso’ no solo es posible, sino tan trivial como robar credenciales tradicionales.»

Suena aterrador, ¿verdad? El problema es que hay un pequeño detalle que se les ha escapado.

Por qué esto no es realmente un «robo» de passkeys

Vamos al grano: el escenario descrito por SquareX no «roba» ninguna clave de acceso existente. Lo que hace es interceptar el proceso de creación de una nueva.

Es como decir que he robado tu llave de casa cuando, en realidad, lo que he hecho es convencerte para que pidas una nueva llave (que en realidad es mía) para tu cerradura. Tu llave original sigue en tu bolsillo, intacta y segura.

Si un usuario ya tiene una passkey configurada para Gmail, por ejemplo, esta permanece completamente segura. El supuesto ataque tendría que engañar al usuario para registrar una nueva clave, controlada por el atacante. En ningún momento se compromete la passkey original.

El modelo de amenaza: lo que FIDO nunca prometió

Aquí está el quid de la cuestión: la Alianza FIDO, que desarrolló las especificaciones de las passkeys, nunca afirmó que estas fueran inmunes a un dispositivo comprometido. De hecho, la sección 6 de la especificación FIDO establece claramente que:

• Se asume que «las aplicaciones en el dispositivo del usuario pueden establecer canales seguros»
• El «entorno informático en el dispositivo del usuario actúa como agente confiable»

En otras palabras: si un atacante ya ha comprometido tu sistema operativo o navegador, todas las apuestas se cancelan. Y esto no es exclusivo de las passkeys.

Una realidad incómoda sobre la seguridad digital

Como ingeniero de seguridad, hay algo que todos debemos entender: ninguna tecnología de autenticación puede protegerte si tu dispositivo está comprometido. Es como quejarse de que la mejor cerradura del mundo no puede protegerte si alguien ya está dentro de tu casa.

Si un atacante puede ejecutar código malicioso en tu dispositivo:

• Puede interceptar tus contraseñas
• Puede robar tus códigos 2FA
• Puede secuestrar tus sesiones web
• Y sí, puede interferir con tus passkeys

Kenn White, ingeniero de seguridad para instituciones financieras y de defensa, lo expresó perfectamente:

«Si eres engañado socialmente para agregar una extensión maliciosa, TODOS los modelos de confianza web están rotos.»

¿Marketing o investigación legítima?

Es revelador que esta «investigación» llegue de una empresa que vende soluciones de seguridad para navegadores. El documento incluye un discurso de venta apenas disimulado para la plataforma SquareX.

Cuando contacté con Shourya Pratap Singh, desarrollador principal de SquareX, defendió su posición argumentando que la investigación pasó por revisión de expertos antes de ser presentada en Defcon. Sin embargo, insistió en que una clave controlada por un atacante equivale a una clave «robada», un salto lógico cuestionable.

¿Dónde nos deja esto?

Las passkeys no son perfectas. Como toda tecnología nueva, necesitan madurar y refinarse. Aún existen desafíos como:

• La interoperabilidad entre diferentes plataformas
• La necesidad de métodos de respaldo (generalmente contraseñas)
• El proceso de recuperación si pierdes todos tus dispositivos

Pero calificar de «vulnerabilidad crítica» algo que nunca estuvo dentro del modelo de protección de la tecnología es, como mínimo, engañoso.

El equilibrio entre el marketing y la realidad

Esta no es la primera vez que vemos afirmaciones exageradas sobre vulnerabilidades en tecnologías de seguridad. Hace poco, otra empresa retiró rápidamente afirmaciones similares sobre autenticación de dos factores basada en FIDO.

La realidad es que las passkeys siguen siendo, hasta la fecha, la mejor defensa contra el phishing, la reutilización de contraseñas y las filtraciones de bases de datos. Tienen limitaciones, como todas las tecnologías, pero representan un avance significativo.

Lo que me preocupa es cómo estas afirmaciones sensacionalistas pueden ralentizar la adopción de tecnologías que genuinamente mejoran nuestra seguridad digital. En un mundo donde las contraseñas débiles y reutilizadas siguen siendo la norma, cualquier obstáculo para la adopción de alternativas más seguras tiene consecuencias reales.

Las passkeys no son la panacea, pero definitivamente son un paso en la dirección correcta. Y merecen ser evaluadas con honestidad y rigor, no con marketing disfrazado de investigación.