Yúbal Fernández
Editor - Xataka BasicsLas passkeys llegaron a nuestras vidas para solucionar el eterno problema de la seguridad de las contraseñas. Y sin embargo se han encontrado con un problema: la seguridad. Sí, porque el investigador Arie Olshtein, de Unit 42, ha publicado un informe hablando de tres tipos de ataque que pueden ser lanzados por malwares para vulnerar las cuentas protegidas con passkeys y hacerse con el control de ellas.
No, no son ataques fáciles de realizar, y para poder efectuarlos se presupone que ya debe haber un malware instalado en tu equipo tomando el control. Sin embargo, nos deja ver que las passkeys siguen sin ser la solución perfecta pese a que ya llevan unos años solucionando contratiempos.
Unos ataques llamados Pass-ta-key. La teoría de las passkey es firme. Nada de contraseñas que puedes olvidar, repetir o entregar sin querer, en su lugar tenemos claves criptográficas, una de cuyas partes se queda en tu dispositivo sin compartirla, y otra en el servicio en el que te registras. No hay códigos ni reenvíos, solo se crea una especie de candado digital público y se te da una llave privada. Sin embargo, este informe deja claro que la teoría y la práctica no siempre coinciden.
A los ataques les ha llamado "Pass-ta-key". Lo que hacen es aprovechar los huecos que se crean entre cómo se diseñó el sistema y cómo se está implementando día a día. Concretamente, los ataques ponen el foco en las passkeys sincronizadas de Google cuando se usan con Chrome en Windows.
Tres nuevas formas de robar una passkey. En el primero de estos ataques, un malware suplanta la identidad del dispositivo del usuario para iniciar sesión sin tener que desbloquear el móvil ni usar la huella dactilar o la cara. Para ello se aprovecha de que muchos servicios no comprueban de forma estricta si de verdad ha habido una verificación del usuario.
En el segundo, el atacante va un paso más allá y engaña al sistema para que crea que se ha desbloqueado el dispositivo con biometría, registrando una clave propia bajo su control. Con ella consigue entrar incluso en las cuentas mejor protegidas desde su propio equipo sin necesidad de que el tuyo esté encendido. Y en el tercero, el más serio, consigue robar la clave maestra que descifra todas las passkeys del usuario de golpe. Con ella, un atacante puede acceder a todas tus passkeys pasadas y futuras. Olshtein descubrió que Google llegaba a exponerla en texto plano en los registros internos de Chrome, y que, aunque la retiró de ahí tras el aviso, sigue quedando accesible en la memoria del navegador.
El prerrequisito es que ya te haya infectado un malware. No, no es que las passkeys sean inseguras. De hecho, para poder realizar estos ataques hace falta un prerrequisito indispensable, y es que tu dispositivo ya esté infectado con un malware. Solo entonces este malware puede indagar en él de las tres maneras con las que puede saltarse la seguridad de las passkeys. Esto es algo que Olshtein deja claro en su informe.
Además, también hay que dejar claro que estas tres nuevas técnicas descubiertas no rompen la criptografía de las passkeys, que sigue siendo sólida. Simplemente consiguen colarse entre rendijas de seguridad provocadas por las maneras en las que se implementan en algunos servicios o navegadores.
El eterno problema de las contraseñas. ¿Y por qué se están impulsando tanto las passkeys? Pues porque las contraseñas son un método inseguro que llevan décadas dándonos dolores de cabeza. Ya no solo porque pueden ser filtradas o robadas, sino también porque los propios usuarios facilitan el trabajo a los cibercriminales. No todos nos tomamos el tiempo necesario para crear una contraseña segura para cada cuenta, ni en usar alguno de los muchos gestores de contraseñas que nos ayuden a recordarlas.
Al final, siempre que salen listas de las contraseñas más utilizadas seguimos encontrándonos con claves muy débiles como “1234”, “123456” y similares, que son siempre las primeras que un atacante probará para acceder a tu cuenta. Si a esto le añadimos el problema de repetir contraseñas en varias de nuestras cuentas, nos encontramos con que cada filtración de credenciales que sale a la luz expone muchas de nuestras cuentas al peligro de que se acceda a ellas.
En un intento de ayudarnos a proteger más nuestras cuentas, llegaron los sistemas de verificación en dos pasos. Con ellos ya no es suficiente con escribir tu nombre de usuario y contraseña, tienes que escribir una clave que se te envía al momento a algún dispositivo. Pero estos también son métodos vulnerables al phishing, malware e ingeniería social. Estos van desde los engaños en WhatsApp que te dicen que te enviaron un código por error hasta otros más sofisticados como el SIM Swapping.
Unas passkeys que siguen teniendo que pulirse. El informe de Unit 42 no es la primera señal de que a las passkeys les queda todavía camino por recorrer. Uno de sus problemas es la fragmentación, porque con cada gran tecnológica apostando por soluciones de sincronización propias, las passkeys se están convirtiendo en jardines amurallados. William Brown, uno de los desarrolladores que impulsó el estándar con una de sus primeras implementacionexs, llegó a calificar la deriva del ecosistema como "un sueño roto".
Por eso, tras más de dos años de despliegue parece que todavía seguimos un poco atrapados en el pasado, con unas passkeys que siguen sin terminar de reemplazar las contraseñas, sino que conviven con ellas como un extra. Eso hace que sigan existiendo métodos de respaldo más vulnerables como la verificación por SMS o correo electrónico, más fáciles de vulnerar.
Las passkey siguen evolucionando. La buena noticia es que se está trabajando en soluciones. Por ejemplo al de su principal problema, el de que sean jardines amurallados. Hace un par de años la FIDO Alliance presentó el protocolo Credential Exchange Protocol (CXP), pensado precisamente para que las passkeys puedan trasladarse de un ecosistema a otro. Esto haría que dejen de ser jardines amurallados. Además, con informes como el de Arie Olshtein donde se apuntan vulnerabilidades también se ayuda a poder detectar este tipo de problemas y buscarles una solución.
En Xataka | Los mejores generadores de contraseñas gratis, seguros y fáciles de usar
Ver 0 comentarios