39 nuevos métodos que comprometen la autenticación mediante passkeys.

Las passkeys (claves de acceso) se introdujeron con una sólida propuesta de seguridad: sustituir las contraseñas por criptografía de clave pública, vincular la credencial al servicio legítimo y mantener la clave privada fuera del servidor; de este modo, muchos de los ataques de phishing y robo de credenciales que han afectado a la seguridad empresarial durante décadas se vuelven drásticamente más difíciles de ejecutar.

Todo eso es cierto. Sin embargo, el panorama de la seguridad ha cambiado con gran rapidez.

Actualmente existen al menos 39 métodos, vectores de ataque, técnicas de investigación y escenarios de explotación documentados públicamente que involucran a las passkeys y a la infraestructura que las sustenta. Para muchos de ellos ya existen herramientas de prueba de concepto funcionales o investigaciones publicadas que detallan cómo ejecutar dichas técnicas. Algunas ya están apareciendo en patrones de ataque reales.

Esto no significa que los delincuentes hayan puesto en práctica los 39 métodos. Sí implica, no obstante, que el manual de tácticas se está redactando a la vista de todos y que los atacantes ya no necesitan idear estas técnicas por sí mismos.

Más importante aún, la investigación pone de manifiesto una distinción fundamental que las empresas deben comprender: la criptografía subyacente de FIDO2 puede permanecer totalmente intacta y, aun así, la cuenta protegida por la passkey verse comprometida.