Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones esencia de ZDNET

• Microsoft está cumpliendo su promesa de aprobar la sincronización de claves de ataque.
• El dispersión comienza con la disponibilidad en Edge para Windows.
• Parece que se está trabajando en una táctica más holística y líder en la industria

Ya sea que esté utilizando sitios web o aplicaciones (a los que los profesionales de la ciberseguridad se refieren colectivamente como “partes de confianza”) que requieren un inicio de sesión, eventualmente se le pedirá que elimine su contraseña en gracia de una esencia sin contraseña.

Bajo la dirección de múltiples proveedores Alianza FIDOel unificado de esencia de ataque, considerado un tipo de credencial de inicio de sesión no susceptible de phishing, existe desde hace cinco abriles. Sin secuestro, el cambio completo con destino a las claves de ataque se ha conocido obstaculizado por la inmadurez de algunas tecnologías de soporte en los sistemas operativos y dispositivos actuales, así como en los diversos sistemas de dirección de identidad utilizados por las partes que confían.

Adicionalmente: reemplacé la contraseña de mi cuenta de Microsoft con una esencia de ataque, y tú asimismo deberías hacerlo

El dispersión comienza con Edge en Windows 11

Sin secuestro, la tasa de apadrinamiento de claves de ataque debería acoger un impulso ahora que una de las barreras (la desatiendo de un medio ampliamente apto ofrecido por Microsoft para sincronizar claves de ataque entre dispositivos Windows e instalaciones de su navegador web Edge) se está eliminando. El dispersión progresivo de Microsoft comenzó la semana pasada.

Según Microsoft, la escalón auténtico de la implementación comenzó con la capacidad de sincronizar claves de ataque entre instalaciones de Edge traducción 142 (o superior) que se ejecutan en dispositivos con Windows 10 y superiores.

Adicionalmente: 10 consejos para sobrevivir con claves de ataque: prepárese para su futuro sin contraseñas ahora

“Estamos apuntando a finales de año calendario para (la disponibilidad en Edge en) iOS”, dijo un portavoz de Microsoft a ZDNET. Esa disponibilidad “será seguida después (por Edge) en Android y MacOS”. La compañía aún no ha ofrecido un cronograma de soporte a través de Edge en Linux.

Anteriormente, los usuarios de Windows podían crear claves de ataque para aplicaciones y sitios web que las admitieran. Sin secuestro, esas claves de ataque estaban vinculadas criptográficamente a una raíz de confianza única basada en hardware, como el Módulo de plataforma segura (TPM) que se encuentra en los sistemas modernos compatibles con Windows. Los TPM generalmente están integrados en el silicio que se monta en la superficie de la placa colchoneta de un dispositivo. Una vez creadas, dichas claves de ataque “vinculadas al dispositivo” están inextricablemente vinculadas a la raíz de confianza única basada en hardware utilizada para crearlas y no se pueden sincronizar con otros dispositivos respaldados por una raíz de confianza basada en hardware separada.

Claves de ataque vinculadas al dispositivo contra sincronizables

Se considera que las claves de ataque sincronizables son más fáciles de usar que sus contrapartes vinculadas al dispositivo. Cuando los usuarios pueden sincronizar sus claves de ataque en sus diversos dispositivos (computadoras, teléfonos inteligentes, tabletas, consolas de juegos, etc.), solo necesitan crear una esencia de ataque por parte de confianza y pueden reutilizar esa única esencia de ataque como credencial de inicio de sesión para esa parte de confianza desde cualquiera de sus dispositivos.

Sin secuestro, con las claves de ataque vinculadas a dispositivos del tipo que Microsoft admitía principalmente hasta ahora, existe una maduro carga técnica para usted al crear varias claves de ataque (una por dispositivo) para cada parte que confía o juntar una única esencia de ataque en un autenticador itinerante: una raíz de confianza portátil basada en hardware como un Yubico Yubikey o un Google Titan que debe estar conectado a cualquier dispositivo desde el que inicie sesión en ese momento.

Adicionalmente: estoy abandonando las contraseñas por claves de ataque por una razón, y no es lo que piensas

Para que una esencia de ataque se libere de estas limitaciones vinculadas al dispositivo, se debe crear utilizando una raíz de confianza portátil basada en software. Una vez que se crea una esencia de ataque de esta guisa, el enfoque peculiar es sincronizarla a través de una estrato operada por el proveedor de la decisión de distribución de credenciales. Por ejemplo, las claves de ataque cuyo origen comienza con el cadena iCloud de Apple se pueden sincronizar con otros dispositivos Apple a través de iCloud de Apple. Lo mismo ocurre con las claves de ataque creadas con el administrador de contraseñas que se encuentra en el navegador web Chrome de Google; se sincronizan a través de la estrato de Google con las otras copias de Chrome del sucesor en otros dispositivos.

Apple, Google y Microsoft son miembros de la Alianza FIDO y son los tres mayores defensores mundiales de las claves de ataque (oficialmente conocidas como Credencial FIDO2). Asimismo existe una gran industria artesanal de soluciones de distribución de contraseñas, incluidas 1Password, BitWarden, Dashlane, LastPass y NordPass, muchas de las cuales asimismo admiten la sincronización de claves de ataque a través de sus nubes operadas de forma independiente. Fiel a su estilo, Microsoft confía en su estrato para suministrar la sincronización de claves de ataque (así como de otras credenciales, como ID de sucesor y contraseñas).

Adicionalmente: Los mejores administradores de contraseñas: probados por expertos

“En división de estar anclada a un TPM específico, la esencia privada (asociada con la esencia de ataque) ahora está protegida adentro de un enclave de estrato seguro respaldado por hardware y cifrada usando claves HSM (Módulo de seguridad de hardware)”, dijo el portavoz de Microsoft a ZDNET. “Esto garantiza que las claves de ataque permanezcan fuertemente protegidas no sólo en reposo y durante la sincronización, sino asimismo mientras se utilizan adentro del enclave seguro”.

El enfoque holístico de Microsoft

Sin secuestro, a medida que avanzan los autenticadores de plataformas de claves de ataque, la táctica de claves de ataque sincronizables de Microsoft hace más que expandir la disponibilidad gratuita e integrada de la capacidad de claves de ataque sincronizables para la huella superhombre de los usuarios existentes de Windows y Edge. Asimismo lleva la idea de un autenticador de plataforma a un nivel completamente nuevo para la industria. Aunque la visión completa se está entregando en pequeños pasos, comenzando con el cambio de soporte de contraseñas de Microsoft Authenticator a Edge en julio, incluirá capacidades esencia que no se encuentran en otras soluciones de distribución de credenciales (especialmente las gratuitas e integradas).

El aspecto más significativo y gratamente sorprendente de estos es la visión holística de que la creación de claves de ataque y su uso posterior debe ser un servicio integrado ofrecido a otras aplicaciones por el sistema operante. Supongamos que depende de una parte de confianza que ofrece su funcionalidad a través de una aplicación web y una aplicación nativa de Windows. Según el enfoque de Microsoft, tanto Edge como la aplicación nativa de Windows pueden reconocer de los mismos componentes subyacentes del sistema operante para la infusión de capacidades de autenticación y registro de claves de ataque.

Adicionalmente: Microsoft Authenticator ya no administrará sus contraseñas, ni la mayoría de las claves de ataque.

Por ejemplo, digamos que crea, a través de su navegador Edge, una esencia de ataque sincronizable para iniciar sesión en LinkedIn. Una vez creada, la misma esencia de ataque asimismo estará apto para la aplicación nativa de Windows para LinkedIn. O al revés. A través de la aplicación nativa de Windows para LinkedIn, debería poder registrar una esencia de ataque que después estará apto para la autenticación con LinkedIn a través de Edge.

Esta capacidad no es sólo para aplicaciones nativas de Windows que son específicas de una única parte dependiente. Según Microsoft, los usuarios de otros navegadores, como Firefox, asimismo tendrán ataque al servicio proporcionado por el sistema operante. En un caso como este, se podría usar Firefox para presentarse y autenticarse en LinkedIn.com usando la misma esencia de ataque (para LinkedIn) que está apto a través de Windows to Edge, así como la aplicación nativa de LinkedIn para Windows.

Según Microsoft, esta capacidad se activará para los usuarios de Windows 11 que hayan realizado la configuración única del administrador de contraseñas en Edge (al que Microsoft se refiere como “Administrador de contraseñas de Microsoft”).

Adicionalmente: ¿Qué sucede verdaderamente durante el inicio de sesión con esencia de ataque “sin contraseña”?

Finalmente, sólo porque Microsoft ahora esté aplicando su táctica integral de claves de ataque sincronizables no significa que esté eliminando el soporte para las antiguas claves de ataque vinculadas al dispositivo.

“Siempre que un sucesor encuentre la creación de una esencia de ataque (flujo de trabajo) adentro de Edge, se le mostrará una ‘pantalla de selección’ donde los usuarios pueden nominar entre guardarla en Microsoft Password Manager (sincronizado) o almacenarla localmente (como una esencia de ataque vinculada al dispositivo) a través de Windows Hello”, dijo el portavoz de Microsoft a ZDNET. “Dependiendo de lo que seleccionen los usuarios, se invocan los siguientes pasos apropiados”. Internamente de Windows, Windows Hello consta de varios componentes que forman parte del subsistema de seguridad de Windows más amplio.