Apple, Google y Microsoft quieren acabar con la contraseña con el estándar ‘Passkey’

Al parecer el primer jueves de mayo es el «Día Mundial de la Contraseña» y se celebra manzanaY El GoogleMicrosoft lanzaesfuerzo conjunto«Para eliminar la contraseña. Los principales proveedores de sistemas operativos» quieren ampliar el soporte para el estándar de inicio de sesión sin contraseña de suscriptor creado por FIDO Alliance y el World Wide Web Consortium. «

El estándar se denomina «credenciales de dispositivos múltiples FIDO» o simplemente una «clave de acceso». En lugar de una larga cadena de caracteres, este nuevo sistema contendrá la aplicación o el sitio web en el que inició sesión para enviar una solicitud de autenticación a su teléfono. A partir de ahí, deberá desbloquear el teléfono, autenticarse con algún tipo de PIN o datos biométricos, y luego estará en camino. Esto suena como un sistema familiar para cualquier persona con una autenticación de dos factores basada en el teléfono, pero es un reemplazo de contraseña en lugar de un factor adicional.

Gráfico de interacción del usuario proporcionado:

Algunos sistemas de pago 2FA funcionan en línea, pero el nuevo esquema FIDO funciona a través de Bluetooth. Como explica el documento técnico, «la tecnología Bluetooth requiere proximidad física, lo que significa que ahora tenemos una forma resistente al phishing de aprovechar el teléfono de un usuario durante la autenticación». Bluetooth tiene una mala reputación en cuanto a compatibilidad, y no estoy seguro de que la «seguridad» haya sido alguna vez una preocupación real, pero FIDO Alliance señala que Bluetooth es solo para «verificación de proximidad física» y que el proceso de inicio de sesión real «no depende de Propiedades de seguridad de Bluetooth Por supuesto, esto significa que ambos dispositivos necesitarán Bluetooth a bordo, lo cual es un hecho para la mayoría de los teléfonos inteligentes y las computadoras portátiles, pero podría ser una demanda difícil para las computadoras de escritorio más antiguas.

De manera similar a cómo un administrador de contraseñas puede unificar sus inicios de sesión bajo una sola contraseña, algunos propietarios de plataformas grandes como Apple o Google pueden hacer una copia de seguridad de sus claves de acceso. Esto le permitirá llevar fácilmente sus credenciales a un nuevo dispositivo, evitará que las pierda y facilitará la sincronización de claves de acceso entre dispositivos. Si pierde su dispositivo, aún puede recuperar sus cuentas iniciando sesión (eh, ¿con una contraseña?) en la cuenta del propietario de la plataforma grande. También puede ser una buena idea tener más de un dispositivo configurado como autenticador.

Las empresas han estado tratando de operar «sin contraseña» durante años, pero lograrlo ha sido difícil. Google tiene agenda completa En una publicación de blog de 2008. Las contraseñas funcionan bien si son largas, aleatorias, confidenciales y únicas, pero el elemento humano de las contraseñas siempre es un problema. No somos buenos para memorizar cadenas de caracteres largas y aleatorias. Es tentador escribir o reutilizar contraseñas, y los esquemas de phishing intentan engañarlo para que le dé su contraseña a un tercero. Cuando ocurre una brecha de seguridad, los pares de nombre de usuario y contraseña son fáciles de compartir y existen enormes bases de datos de credenciales pirateadas.

«Se espera que estas nuevas capacidades estén disponibles en las plataformas de Apple, Google y Microsoft durante el próximo año», dice la publicación del blog de FIDO. Apple, que parece haber iniciado toda la moda de la «clave de acceso», ya tiene un sistema que funciona en iOS 15 y macOS Monterey, pero no compatible Con otras plataformas hasta ahora. Google ya admite la clave de paso fue visto Está en Play Services en Android, por lo que los dispositivos Android más antiguos deberían admitirlo rápidamente una vez que estén listos.

Imagen de listado de FIDO Alliance