En la última semana, tres investigaciones independientes publicaron técnicas novedosas para vulnerar la protección que ofrece las passkeys, un nuevo esquema de autenticación que pretende sustituir las contraseñas tradicionales y resistir ataques de phishing.
El primer estudio mostró cómo Windows expone material firmado que puede ser reutilizado por un atacante. Al extraer la firma de una autenticación legítima, el adversario puede reproducir la prueba de posesión sin necesidad de conocer la clave privada, lo que permite eludir la verificación de la passkey en dispositivos que confían únicamente en esa firma.
El segundo informe se centró en el ecosistema de sincronización en la nube ofrecido por proveedores como Google y Microsoft. Un malware previamente instalado en el equipo de la víctima puede interceptar la clave sincronizada mientras se almacena en la nube, copiándola y reutilizándola en otro contexto, lo que anula la resistencia a phishing de la passkey.
El tercer análisis evidenció que, aunque la passkey está diseñada para ser resistente a phishing, los atacantes pueden explotar flujos de autenticación mediante la captura de tokens de sesión o la suplantación de la interacción del usuario en páginas legítimas, logrando así un bypass de la MFA.
Estas vulnerabilidades comparten una raíz común: la dependencia excesiva del dispositivo cliente para la generación y el almacenamiento de la prueba de autenticidad. Cuando el entorno del usuario está comprometido, la solidez criptográfica de la passkey queda irrelevante, pues el atacante dispone de los datos firmados necesarios para validar la identidad.
Para las organizaciones, el impacto es inmediato. La adopción masiva de passkeys en entornos corporativos depende de la confianza en la integridad del dispositivo y del usuario.
Los expertos recomiendan reforzar la cadena de confianza mediante la implementación de attestation remota, la monitorización de dispositivos y la adopción de mecanismos de revocación rápida. Asimismo, es crucial educar a los usuarios sobre la importancia de mantener dispositivos libres de malware y de no confiar ciegamente en la supuesta resistencia a phishing de las passkeys.
En conclusión, aunque las passkeys representan un avance significativo en la lucha contra las contraseñas reutilizables, los últimos hallazgos subrayan la necesidad de una arquitectura de seguridad más robusta que incluya verificación de integridad del dispositivo, gestión de claves revocables y vigilancia constante de amenazas emergentes.
Google demostró que la sincronización entre dispositivos en la nube es vulnerable a ataques de tipo "man-in-the-middle", ya que el token de autenticación no verifica su origen antes de ser almacenado.
Además, la normativa europea, bajo el marco del GDPR y la propuesta de regulación de IA, exige que los proveedores de servicios implementen mecanismos de detección de anomalías y revocación de credenciales, lo que presiona a los desarrolladores de passkeys a reforzar sus protocolos de seguridad.
Para los usuarios finales, la repercusión se traduce en una mayor exposición a fraudes y suplantaciones de identidad, ya que la pérdida de una passkey sincronizada puede permitir a un atacante acceder a cuentas bancarias, correo electrónico y plataformas de trabajo remoto sin necesidad de contraseñas adicionales.
En resumen, la comunidad tecnológica debe actuar con rapidez para cerrar estas brechas, pues la adopción masiva de passkeys dependerá de la confianza que los usuarios y las organizaciones depositen en su robustez frente a ataques cada vez más sofisticados.
