Durante décadas, la combinación de un nombre de usuario y una cadena de caracteres ha sido el pilar fundamental del control de acceso digital. También ha representado el dolor de cabeza constante para los departamentos de soporte y la puerta de entrada predilecta para los atacantes. El cansancio generado por el restablecimiento infinito de credenciales y la proliferación de campañas de suplantación de identidad llevaron a la industria a promover un objetivo ambicioso: desterrar las contraseñas para siempre.
La propuesta suena impecable sobre el papel. Mediante estándares abiertos como FIDO2 y la implementación de passkeys, los empleados autentican su identidad utilizando lectores de huellas, reconocimiento facial o llaves de seguridad físicas. Este esquema promete erradicar los ataques de phishing masivos, mejorar la experiencia de usuario y reducir drásticamente los costes asociados a la gestión de accesos.
Sin embargo, cuando una corporación con decenas de miles de empleados, cientos de aplicaciones heredadas y normativas de cumplimiento estrictas intenta dar el salto hacia el modelo passwordless, la teoría tropieza de frente con la infraestructura real. Lo que parecía un cambio de configuración fluido se transforma en un despliegue repleto de fricciones operativas, dilemas de compatibilidad y nuevos vectores de riesgo que pocos contemplaron en la fase inicial de planificación.
La base técnica: cómo funcionan FIDO2, WebAuthn y las claves de acceso
Para comprender la magnitud de la transición, conviene examinar la arquitectura subyacente. El ecosistema sin contraseña se apoya principalmente en las especificaciones de la alianza FIDO (Fast IDentity Online) y el estándar WebAuthn de la W3C.
A diferencia del modelo tradicional donde un servidor almacena la clave del usuario (o un resumen criptográfico de la misma), el protocolo FIDO2 utiliza un esquema de criptografía de clave pública de extremo a extremo.
[ Dispositivo del Empleado ] [ Servidor de Identidad / IdP ]
(Sensor Biométrico / YubiKey)
|
|-- 1. Solicitud de Autenticación --------->|
| |
|<-- 2. Desafío Criptográfico (Challenge) --|
|
3. Desbloqueo Biométrico
4. Firma del Desafío con
la Clave Privada
|
|-- 5. Respuesta Firmada ----------------->|
|
6. Validación con la
Clave Pública (Acceso concedido)
- Registro: El dispositivo del usuario genera un par de claves criptográficas únicas para un sitio o servicio específico. La clave pública se envía al servidor de identidad (Identity Provider o IdP), mientras que la clave privada nunca abandona el elemento seguro del hardware local.
- Autenticación: Cuando la persona intenta iniciar sesión, el servidor emite un desafío aleatorio.
- Firma local: El usuario valida su presencia física mediante biometría (Windows Hello, Touch ID) o un PIN local. Esta acción desbloquea la clave privada en el dispositivo, la cual firma el desafío del servidor.
- Verificación: El servidor comprueba la firma con la clave pública previamente guardada. Dado que el dominio web está vinculado criptográficamente al proceso, un sitio falso de phishing no puede solicitar ni interceptar esta firma.
Los obstáculos de la infraestructura heredada y la compatibilidad
El mayor reto para los directores de tecnología no radica en adoptar passkeys en aplicaciones saas modernas como Google Workspace o Microsoft 365, donde el soporte es nativo. El verdadero dolor de cabeza surge al mirar hacia el núcleo operativo de la organización.
[ Sistema de Identidad Central ]
|
+---------------------------+---------------------------+
| |
v v
[ Servidores Nube Modernos ] [ Entorno Corporativo Híbrido ]
Soporte WebAuthn / FIDO2 Incompatibilidad de Protocolos
(Acceso inmediato sin clave) (Sistemas que aún exigen texto plano)
| |
+--> Google Workspace / M365 +--> Servidores SSH y consolas CLI
+--> Clientes VPN antiguos
+--> Mainframes y software AS/400
+--> Base de datos y conexiones RDP
Gran parte de la actividad diaria en sectores como la banca, la logística o la industria manufacturera depende de herramientas desarrolladas hace más de dos décadas. Estos entornos carecen de interfaces para procesar flujos de autenticación FIDO2:
- Sistemas de terminal y SSH: Los administradores de sistemas y desarrolladores necesitan autenticarse de forma continua en servidores Linux o routers mediante líneas de comandos que no admiten alertas emergentes de biometría web.
- Protocolos antiguos: Herramientas que utilizan autenticación Kerberos directa, LDAP simple o llamadas de API sin tokens OAuth2 quedan al margen del ecosistema passwordless.
- Consolas RDP y escritorios remotos: Configurar el reenvío de credenciales FIDO2 a través de sesiones de escritorio remoto suele requerir arquitecturas complejas de tarjetas inteligentes virtuales que elevan la tasa de fallos de conexión.
El resultado es que las organizaciones se ven obligadas a mantener un modelo híbrido. Se elimina la contraseña para el correo electrónico y la intranet, pero se conserva para acceder a las bases de datos internas, obligando a los usuarios a convivir con dos paradigmas distintos.
Riesgos operativos y el desafío del ciclo de vida del dispositivo
Al sustituir «lo que sabes» (una contraseña) por «lo que tienes» (un dispositivo físico), el control de acceso queda indisolublemente ligado al hardware. Esta dependencia transforma la logística interna del departamento de microinformática.
| Escenario Operativo | Modelo Tradicional (Contraseña) | Modelo Passwordless (FIDO2 / Passkeys) |
| Pérdida o avería del móvil / PC | El usuario llama a soporte, valida su identidad y recibe una clave temporal en minutos. | El acceso queda bloqueado por completo al perderse la clave privada local. Requiere un proceso de recuperación complejo. |
| Rotación de personal y bajas | Inhabilitación inmediata de la cuenta desde la consola de Active Directory. | Es necesario revocar las claves públicas registradas y desvincular los tokens físicos repartidos a la plantilla. |
| Trabajo compartido en planta | Varios turnos comparten terminales mediante credenciales genéricas o rotativas. | Fricción elevada: cada empleado debe vincular su propio dispositivo personal o usar llaves físicas individuales. |
El punto más crítico aparece en el procedimiento de arranque inicial (onboarding) y en la recuperación de cuentas. Si un empleado pierde la llave física de seguridad (como una YubiKey) o cambia de teléfono móvil donde tenía almacenada la clave de acceso, ¿cómo demuestra quién es para enrolar un nuevo dispositivo?
Si el mecanismo de recuperación alternativo consiste en enviar un enlace por correo o responder a preguntas secretas, la seguridad de todo el esquema se degrada al nivel del eslabón más débil, anulando las ventajas teóricas de FIDO2.
Claves sincronizadas frente a claves ligadas al hardware: el dilema de gobernanza
La entrada de Apple, Google y Microsoft en la gestión de passkeys introdujo una distinción técnica crucial que las áreas de riesgo corporativo deben evaluar detenidamente: las claves de acceso sincronizadas (synced passkeys) y las claves no exportables (hardware-bound keys).
Las claves sincronizadas se replican automáticamente entre los dispositivos personales del usuario a través de servicios en la nube como iCloud Keychain o Google Password Manager. Si bien esto aporta una comodidad extraordinaria para el consumidor final, representa un quebradero de cabeza para la auditoría empresarial:
- Fuga de credenciales corporativas: Una clave de acceso creada para ingresar a la red interna de la empresa puede terminar sincronizada en el iPad personal del hijo de un empleado.
- Perímetro difuminado: La empresa pierde visibilidad sobre qué dispositivos albergan las claves privadas que dan acceso a sus recursos confidenciales.
Por esta razón, las grandes organizaciones suelen exigir el uso de claves ligadas al hardware. En este formato, la clave privada se genera dentro de un chip de seguridad TPM (Trusted Platform Module) o un token USB dedicado, de donde resulta imposible extraerla o copiarla. Esto garantiza el cumplimiento normativo, pero incrementa de manera sustancial los costes de adquisición de hardware para la plantilla.
Nuevos vectores de ataque en un mundo sin contraseñas
Eliminar las contraseñas frena en seco el robo de credenciales mediante páginas web clonadas, pero no destruye el interés de los ciberdelincuentes por tomar el control de las sesiones. La superficie de amenaza simplemente se desplaza hacia otras fases del proceso de autenticación.
VECTORES DE ATAQUE TRADICIONALES NUEVAS AMENAZAS EN ENTRADA PASSWORDLESS
[ Credenciales / Passwords ] [ Capa de Sesión / Dispositivos ]
| |
+---> Phishing Masivo +---> Secuestro de Tokens de Sesión (In-the-Middle)
+---> Credential Stuffing +---> Fatiga de Notificaciones Push (MFA Fatigue)
+---> Fuerza Bruta +---> Malware de Tipo Infostealer en el Endpoint
- Secuestro de cookies y tokens de sesión: Dado que FIDO2 solo interviene en el instante inicial del inicio de sesión, una vez concedido el acceso, el navegador recibe un token o cookie de sesión. Los programas maliciosos de tipo infostealer no buscan la contraseña; roban esa cookie activa directamente desde la memoria del equipo para suplantar al usuario sin pasar por la biometría.
- Ingeniería social en la mesa de ayuda (Help Desk): Los atacantes dirigen sus esfuerzos a engañar a los agentes de soporte técnico. Fingiendo ser un ejecutivo que ha destruido su teléfono en un viaje de trabajo, intentan convencer al personal informático para que registre un nuevo dispositivo controlado por el delincuente.
- Malware en el punto final: Un equipo infectado con troyanos de acceso remoto (RAT) puede manipular el contexto en el que el usuario realiza la verificación biométrica, aprobando transacciones maliciosas mientras la persona cree estar iniciando sesión en su correo corporativo.
Buenas prácticas para un despliegue progresivo y seguro
La transición hacia una arquitectura passwordless no debe plantearse como un evento único, sino como un proyecto por fases que abarque tecnología, procesos y formación de personal.
- Auditoría de inventario de aplicaciones: Clasificar todo el catálogo de software según su compatibilidad con FIDO2/WebAuthn. Las herramientas no compatibles deben integrarse detrás de un proxy de acceso a la red con arquitectura Zero Trust (ZTNA) que maneje la autenticación fuerte en la capa perimetral.
- Definición de políticas de enrolamiento estrictas: Establecer que el registro de nuevos dispositivos o tokens solo pueda realizarse de manera presencial, mediante validación por vídeo verificado o utilizando credenciales temporales de un solo uso (Temporary Access Pass) aprobadas por dos supervisores.
- Adopción de llaves físicas para perfiles críticos: Asignar tokens de hardware dedicados no exportables a administradores de sistemas, personal directivo y empleados con acceso a datos sensibles o transacciones financieras.
- Despliegue de detección de anomalías en sesión: Combinar la autenticación FIDO2 con motores de análisis de riesgo que evalúen continuamente la ubicación geográfica, la postura de seguridad del dispositivo y la conducta del usuario tras el inicio de sesión.
La identidad digital en busca de su equilibrio definitivo
Erradicar las contraseñas en el entorno corporativo es un paso necesario para elevar el listón defensivo frente a una industria del cibercrimen cada vez más automatizada. No obstante, asumir que la tecnología FIDO2 resuelve mágicamente la gestión de identidades es un error de apreciación.
El éxito de la iniciativa no depende exclusivamente del sensor biométrico o del token USB, sino de la madurez con la que las organizaciones rediseñen sus flujos de trabajo, gestionen el ciclo de vida de los equipos y capaciten a sus equipos de soporte. La contraseña puede desaparecer de la pantalla del usuario, pero la responsabilidad de verificar quién está al otro lado de la red sigue siendo el desafío técnico más complejo de la informática moderna.
Deja una respuesta