Apple, Google y Microsoft hicieron que las passkeys se sincronizaran entre dispositivos, y entre plataformas

Para 2022, la contraseña era el agujero de seguridad mejor documentado de internet: las credenciales débiles y fáciles de adivinar influyeron en más del 80 % de las filtraciones de datos, según el informe anual de filtraciones de Verizon citado por TechCrunch. La FIDO Alliance y el W3C tenían una respuesta técnica desde 2018 —WebAuthn, que firma cada sitio con un par de claves generado en el dispositivo del usuario, de modo que los servidores no guardan ningún secreto que valga la pena robar y las páginas de phishing no obtienen nada. Sin embargo, el inicio de sesión sin contraseña seguía siendo un nicho para las claves de seguridad empresariales.

El obstáculo era logístico, no criptográfico. Una credencial FIDO vivía en un solo dispositivo y tenía que volver a registrarse sitio web por sitio web en cada teléfono o portátil nuevo, así que una persona normal con tres dispositivos nunca se molestaría. El Día Mundial de la Contraseña, el 5 de mayo de 2022, Apple, Google y Microsoft se comprometieron conjuntamente a arreglar exactamente eso en el plazo de un año: las passkeys se sincronizarían entre los dispositivos de un usuario, un teléfono podría iniciar sesión en aplicaciones de una computadora cercana y todo funcionaría entre macOS/Safari, Android/Chrome y Windows/Edge —una passkey de iPhone iniciando sesión en Chrome en una PC con Windows.

Dos meses después, en la WWDC, Apple incorporó las passkeys a las versiones beta de iOS 16 y macOS Ventura e incluso le dio un icono a la función. Y en agosto de 2022, el vicepresidente de identidad de Microsoft, Alex Simons, confirmó la tercera pieza: las tres empresas usarían el sustantivo común «passkey» —no «autenticación FIDO»— para que los usuarios comunes encontraran un solo nombre sin importar de quién fuera el dispositivo que tuvieran. Nadie reclamó la palabra como marca.

Por qué funcionó: los tres rivales no son dueños del estándar FIDO, pero sí de su distribución —sistemas operativos, navegadores y las nubes de credenciales que ya están en miles de millones de dispositivos. Un compromiso simultáneo entre plataformas convirtió un protocolo que llevaba cuatro años estancado en una función que la gente realmente recibiría. La directora de CISA, Jen Easterly, respaldó públicamente la medida como una forma de elevar el nivel básico de ciberseguridad.

Sincronizar la credencial como una contraseña —y mantenerla a prueba de phishing

El antiguo modelo de despliegue de FIDO exigía un nuevo registro por dispositivo y por sitio, algo que ningún consumidor con varios dispositivos haría jamás; la sincronización en la nube redujo ese costo a cero sin perder la resistencia al phishing.

Los tres proveedores de plataforma se comprometieron a la vez, así que ningún usuario se enfrentó a un silo propietario sin contraseña —el problema del silo es lo que mató los esquemas anteriores de un solo proveedor.

Acordar «passkey» como un sustantivo común corriente le dio al estándar un único nombre de cara al consumidor; la última milla de un estándar técnico es el vocabulario.

Usar el teléfono como autenticador itinerante permitió que los portátiles más antiguos se sumaran sin comprar claves de seguridad de hardware.

Cuando un estándar se estanca, hay que leer el flujo de registro, no la especificación. El protocolo de 2018 estaba terminado; lo que importó en 2022 fue la sincronización, un lanzamiento conjunto y un nombre sencillo. La distribución era la ventaja defensiva.

Apple demostró las passkeys en la WWDC 2022 y las incorporó en las versiones beta de iOS 16 y macOS Ventura ese verano; Google dijo que las herramientas para desarrolladores de Android se abrirían «hacia finales de 2022»; Microsoft se comprometió a permitir el inicio de sesión en cuentas de Microsoft mediante passkeys de teléfono «en un futuro próximo». Para agosto de 2022, las tres también habían convergido en el nombre «passkey», y la directora de CISA calificó el compromiso conjunto como un hito para elevar el nivel básico de seguridad de Estados Unidos.