Las passkeys, diseñadas para reemplazar las contraseñas tradicionales y mejorar la seguridad, enfrentan un nuevo desafío. Un informe de Unit 42 ha detallado tres tipos de ataques que, aunque requieren la preexistencia de malware, pueden comprometer cuentas protegidas. Esto subraya que, a pesar de su promesa, las passkeys aún no son una solución infalible y requieren mejoras continuas.
Las passkeys surgieron como una solución al persistente problema de la seguridad de las contraseñas. Sin embargo, se han topado con un inconveniente: la seguridad. El investigador Arie Olshtein, de Unit 42, ha divulgado un informe que describe tres tipos de ataques que pueden ser ejecutados por software malicioso para vulnerar cuentas protegidas con passkeys y tomar el control de ellas. Es importante señalar que estos ataques no son sencillos de realizar y presuponen la instalación previa de malware en el equipo para lograr el control. No obstante, esto revela que las passkeys todavía no constituyen la solución perfecta, a pesar de llevar algunos años mitigando problemas. Estos ataques han sido denominados “Pass-ta-key”.
La concepción teórica de las passkeys es robusta: eliminan la necesidad de contraseñas que se pueden olvidar, reutilizar o divulgar accidentalmente. En su lugar, se emplean claves criptográficas, donde una parte reside en el dispositivo del usuario sin ser compartida y la otra en el servicio donde el usuario se registra. No hay códigos ni reenvíos; simplemente se crea un candado digital público y se proporciona una llave privada. Sin embargo, este informe pone de manifiesto que la teoría y la práctica no siempre coinciden. Los ataques, nombrados “Pass-ta-key”, explotan las brechas que surgen entre el diseño original del sistema y su implementación cotidiana. Específicamente, los ataques se centran en las passkeys sincronizadas de Google cuando se utilizan con Chrome en Windows.
Se han identificado tres nuevas metodologías para sustraer una passkey. En el primero de estos ataques, un malware suplanta la identidad del dispositivo del usuario para iniciar sesión sin la necesidad de desbloquear el móvil o usar autenticación biométrica (huella dactilar o reconocimiento facial). Esto se logra aprovechando que muchos servicios no verifican estrictamente si el usuario ha sido realmente autenticado. En el segundo escenario, el atacante avanza un paso más, engañando al sistema para que crea que el dispositivo ha sido desbloqueado biométricamente, y registra una clave propia bajo su control. Con esta clave, consigue acceder incluso a las cuentas más protegidas desde su propio equipo, sin que el dispositivo del usuario esté encendido. El tercer ataque, considerado el más grave, logra robar la clave maestra que descifra todas las passkeys del usuario de una sola vez. Con ella, un atacante puede acceder a todas las passkeys pasadas y futuras. Olshtein descubrió que Google exponía esta clave en texto plano en los registros internos de Chrome y, aunque la retiró tras la advertencia, sigue siendo accesible en la memoria del navegador.
El requisito previo para estos ataques es que el dispositivo ya esté infectado con malware. No se trata de que las passkeys sean inherentemente inseguras. De hecho, para llevar a cabo estos ataques, es indispensable que el dispositivo ya esté comprometido por un software malicioso. Solo en esa circunstancia, el malware puede explorar el sistema de las tres maneras descritas para eludir la seguridad de las passkeys. Este punto es enfatizado por Olshtein en su informe. Además, es crucial aclarar que estas tres nuevas técnicas descubiertas no vulneran la criptografía de las passkeys, que sigue siendo robusta. Simplemente logran infiltrarse a través de fallos de seguridad generados por las formas en que se implementan en ciertos servicios o navegadores.
¿Por qué se está impulsando tanto el uso de las passkeys? La razón principal es que las contraseñas son un método inseguro que ha generado inconvenientes durante décadas. No solo pueden ser filtradas o robadas, sino que los propios usuarios a menudo facilitan el trabajo a los ciberdelincuentes. No todos dedican el tiempo necesario para crear una contraseña segura para cada cuenta, ni utilizan los numerosos gestores de contraseñas disponibles para recordarlas. Constantemente, las listas de contraseñas más usadas siguen mostrando claves muy débiles como “1234”, “123456” y similares, que son siempre las primeras que un atacante probará para acceder a una cuenta. Si a esto se añade el problema de repetir contraseñas en múltiples cuentas, cada filtración de credenciales que sale a la luz expone muchas de nuestras cuentas al riesgo de acceso no autorizado. En un intento por fortalecer la protección de las cuentas, surgieron los sistemas de verificación en dos pasos. Con ellos, ya no basta con ingresar el nombre de usuario y la contraseña; se debe introducir una clave que se envía al momento a algún dispositivo. Sin embargo, estos métodos también son vulnerables a ataques de phishing, malware e ingeniería social. Estos van desde engaños en WhatsApp que simulan el envío accidental de un código hasta técnicas más sofisticadas como el SIM Swapping.
El informe de Unit 42 no es la primera indicación de que a las passkeys les queda un camino por recorrer. Uno de sus problemas es la fragmentación, ya que cada gran empresa tecnológica apuesta por soluciones de sincronización propias, convirtiendo las passkeys en “jardines amurallados”. William Brown, uno de los desarrolladores que impulsó el estándar con una de sus primeras implementaciones, llegó a calificar la evolución del ecosistema como “un sueño roto”. Por ello, después de más de dos años de implementación, parece que seguimos algo anclados en el pasado, con passkeys que aún no han logrado reemplazar completamente las contraseñas, sino que conviven con ellas como un complemento. Esto mantiene la existencia de métodos de respaldo más vulnerables, como la verificación por SMS o correo electrónico, que son más fáciles de comprometer.
La buena noticia es que se están desarrollando soluciones. Por ejemplo, para su principal problema, el de los “jardines amurallados”. Hace un par de años, la FIDO Alliance presentó el protocolo Credential Exchange Protocol (CXP), diseñado precisamente para permitir que las passkeys puedan trasladarse de un ecosistema a otro. Esto eliminaría la barrera de los “jardines amurallados”. Además, informes como el de Arie Olshtein, que señalan vulnerabilidades, contribuyen a detectar este tipo de problemas y a buscarles una solución.
