Las passkeys han llegado como una respuesta innovadora al persistente problema de la seguridad en contraseñas. Sin embargo, un informe reciente de Arie Olshtein de Unit 42 revela la existencia de vulnerabilidades que podrían ser explotadas por malware para comprometer cuentas protegidas con passkeys. Este hallazgo es crucial, ya que demuestra que, a pesar de ofrecer una alternativa más segura, las passkeys aún no son infalibles.
Olshtein describe tres métodos de ataque, denominados “Pass-ta-key”, que requieren que un dispositivo ya esté infectado con malware. Estos ataques se centran en las passkeys sincronizadas de Google al utilizar Chrome en Windows. En el primer ataque, el malware finge ser el dispositivo del usuario para iniciar sesión sin necesidad de biometría. En el segundo, engaña al sistema simulando un desbloqueo biométrico, permitiendo el acceso a cuentas protegidas. El tercer ataque es el más grave, donde se roba la clave maestra que descifra todas las passkeys del usuario, lo que podría abrir la puerta a todas sus cuentas.
Es importante destacar que estos ataques no ponen en jaque la criptografía de las passkeys, que sigue siendo robusta, sino que se aprovechan de debilidades en la implementación en algunos servicios y navegadores. Aunque las passkeys se posicionan como una mejora respecto a las contraseñas, su afección depende del malware ya presente en el dispositivo.
La necesidad de una solución a largo plazo es evidente. Las contraseñas tradicionales continúan siendo una fuente de problemas de seguridad, ya que muchos usuarios optan por contraseñas débiles o repetidas. Los sistemas de verificación en dos pasos son un intento de aumentar la seguridad, pero tampoco son inmunes a ataques de ingeniería social.
A pesar del desafío que representan, las passkeys aún están en evolución. Para abordar problemas como la fragmentación en su implementación, la FIDO Alliance ha introducido el protocolo Credential Exchange Protocol (CXP), que facilitaría la transferencia de passkeys entre diferentes ecosistemas. Este tipo de avances, junto con la identificación de vulnerabilidades, son pasos esenciales hacia un futuro más seguro en la autenticación digital.