Un mundo sin contraseñas podría vincular aún más a los usuarios con Apple o Android

La perspectiva de un mundo sin contraseñas no puede llegar lo suficientemente pronto para mí, pero se ha planteado un problema con el estándar FIDO, que fue diseñado para eliminar la necesidad de contraseñas. Renunciar a las contraseñas podría dificultar el cambio entre ecosistemas. Si ha configurado sus claves de acceso para dispositivos Apple, de forma predeterminada no hay forma de transferirlas a un dispositivo Android o viceversa…

Un mundo sin contraseñas

Un mundo sin contraseñas es la misión de FIDO Alliance (Fast IDentity Online). Actualmente, para iniciar sesión en un sitio web o una aplicación, normalmente ingresamos un nombre de usuario y una contraseña. Hemos argumentado durante años que las contraseñas son un enfoque de seguridad bastante terrible, y empeora con cada servicio adicional que usamos. Las preguntas de seguridad como una forma cruda de autenticación de dos factores son un lío aún mayor. En cambio, FIDO permite que nuestro dispositivo nos autentique. La lógica es la siguiente (usando un iPhone con Face ID como ejemplo):

• Un sitio web o aplicación le pide que se identifique y pruebe su identidad.
• Su iPhone recibe esta solicitud y activa Face ID.
• Si su rostro coincide, su iPhone le dirá al sitio web quién es usted y que su identidad ha sido verificada.

En ningún momento se requiere una contraseña: la autenticación se realiza en su dispositivo, no en el servidor del sitio web. El servidor web confía en su iPhone para autenticarlo al igual que las terminales de pago confían en su teléfono para las transacciones de Apple Pay.

Apple apoya el estándar

Vimos por primera vez un ejemplo de cómo podría funcionar esto en dispositivos Apple en 2019. Apple luego confirmó oficialmente que admitiría el estándar FIDO el año siguiente. También cuenta con el apoyo de otros gigantes tecnológicos como Amazon, Arm, Facebook, Google, Intel, Microsoft y Samsung. Y para ilustrar que incluso las empresas de servicios financieros están satisfechas con la seguridad del enfoque, los miembros de la junta de FIDO incluyen a American Express, ING, Mastercard, Paypal, Visa y Wells Fargo. Una propuesta de actualización del estándar hace la vida aún más fácil al permitir que un dispositivo Apple autentique a otro a través de Bluetooth. En otras palabras, si ya usó FIDO para iniciar sesión en un sitio web en su iPhone, también iniciará sesión en su Mac cuando esté dentro del alcance de Bluetooth. Apple llama a su implementación de esta característica Passkeys en iCloud Keychain. Esta es solo una sugerencia en este momento, pero Apple, Google y Microsoft planean admitirlo.

El problema del bloqueo

Sin embargo, como informa Fast Company, actualmente no hay nada en el estándar que permita cambiar entre ecosistemas. Las claves de acceso se almacenan en sus dispositivos (y en la nube si se confirma esta función), lo que plantea un problema si desea cambiar de un iPhone a un teléfono con Android o viceversa.

La propuesta actual de FIDO no incluye un mecanismo para la transferencia masiva de claves de acceso entre ecosistemas. Si desea cambiar de un teléfono Android a un iPhone, o viceversa, no puede simplemente transferir todas sus claves de acceso. «No tenemos un método de exportación por lotes en este momento», dice Andrew Shikiar, director ejecutivo de FIDO Alliance. “Creo que probablemente sea una iteración futura.” Por el contrario, la naturaleza tangible de las contraseñas hace que sean bastante fáciles de transferir. Los principales navegadores web pueden importar contraseñas de otros navegadores con solo unos pocos clics, y la mayoría de los administradores de contraseñas pueden descargar los inicios de sesión de los usuarios en una hoja de cálculo .csv para que los usuarios puedan cargarlos manualmente en un servicio de la competencia.

O mejor dicho, solo puedes hacerlo con una llave maestra a la vez, lo que sería muy tedioso. En teoría, este es un problema fácil de resolver: simplemente permita que las claves de acceso se exporten e importen como se pueden hacer las contraseñas en la actualidad. Sin embargo, dado que se supone que FIDO es más seguro que las contraseñas, la alianza se resiste a permitirlo.

El temor es que si los usuarios pueden mover fácilmente todas sus claves de acceso entre proveedores, los piratas informáticos podrían intentar explotar esta capacidad. Por el momento, no está claro cuándo o cómo FIDO podría abordar este problema. «Es muy difícil hacer esto de forma segura desde el principio, porque sin mucho cuidado, si le damos a alguien un mecanismo para exportar todas estas claves, sabes quién aparecerá primero», dice Srinivas. «No será el usuario legítimo».

La solución más probable es trabajar con empresas de administración de contraseñas como 1Password y LastPass, ya que necesitarían un nuevo rol en un mundo sin contraseña. Tanto 1Password como Bitwarden confían en que esto sucederá, pero probablemente no deberíamos esperarlo cuando FIDO se lance por primera vez, ya sea a fines de este año o principios del próximo. Foto: Nilay Patel/Unsplash FTC: Utilizamos enlaces de afiliados automáticos que generan ingresos. Más.

---

Visite 9to5Mac en YouTube para obtener más noticias de Apple: