Llaves de acceso (passkeys) en Windows: Inmunes al phishing, pero no son un antivirus

Recientemente, un investigador de seguridad descubrió una forma de robar las "llaves de acceso" (passkeys) en computadoras con Windows infectadas por virus, llamando a este método "Pass-ta-key". Esto generó dudas sobre si esta nueva tecnología, diseñada para reemplazar a las contraseñas, es realmente segura. La respuesta es un rotundo sí, pero es vital entender cómo funcionan y de qué nos protegen exactamente.

¿Qué son exactamente las llaves de acceso y por qué son tan seguras?
Las llaves de acceso son parte de un estándar de seguridad llamado FIDO2. A diferencia de las contraseñas tradicionales, tienen ventajas únicas que las hacen superiores:

• Son inmunes al Phishing (engaños en internet): Esta es su mayor fortaleza. Una contraseña tradicional es como un billete: quien la tenga, tiene el control. Puedes ser engañado para escribirla en una página web falsa, o alguien puede robarla de un papelito. Las llaves de acceso, en cambio, no son algo que puedas "escribir" o "compartir" por error. Si entras a una página falsa, la llave simplemente no funcionará.

• Tienen doble seguridad integrada: Las llaves FIDO2 más avanzadas (conocidas como "credenciales residentes") guardan la información de cada sitio web en tu dispositivo. Pero para usarlas, casi siempre requieren un paso extra: tu huella digital, tu rostro o un PIN numérico. Esto significa que si alguien te roba tu teléfono o tu llave física (como una YubiKey), el atacante no podrá usarlas porque no tiene tu huella ni tu PIN.

El concepto del "Cinturón de Seguridad"
Para entender el ataque "Pass-ta-key", los expertos en seguridad usan el concepto del "modelo de amenazas": una herramienta debe evaluarse según el problema que intenta resolver.

Piensa en las llaves de acceso como el cinturón de seguridad de tu auto: está diseñado maravillosamente para protegerte en un choque (ataques en internet, phishing o robos de servidores), pero no te protegerá si el auto se incendia.

¿Qué pasa entonces en Windows?
Las llaves de acceso no están diseñadas para protegerte si tu computadora personal ya está controlada por un virus. En sistemas operativos como Windows (donde los programas tienen permisos muy amplios y los virus pueden hurgar en todo tu sistema), si tu PC está infectada y tienes tus sesiones abiertas, el virus puede tomar el control y solicitar tus llaves a la nube haciéndose pasar por tu dispositivo.

La conclusión: Las llaves de acceso son una de las mejores herramientas creadas para protegerte en internet, eliminando el riesgo de que roben tus contraseñas. Sin embargo, no hacen magia; ninguna tecnología web puede salvarte si la computadora que estás utilizando ya está infectada con un virus que controla todo lo que haces.