Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones secreto de ZDNET

• Las claves de golpe te permiten iniciar sesión sin escribir ni memorar contraseñas.
• A diferencia de las contraseñas, son resistentes al phishing.
• Las claves de golpe sincronizables facilitan los inicios de sesión seguros en todos los dispositivos.

Durante el postrero año, las claves de golpe se han vuelto populares. La tasa de prohijamiento de esta tecnología ha sido importante y no muestra signos de desaceleración. Si tu experiencia es como la mía, probablemente te inviten a eludir una nueva secreto de golpe al menos una o dos veces por semana.

En total, ahora tengo al menos 40 claves guardadas. Puedo usar esas claves de golpe para eliminar por completo la solicitud de contraseña e iniciar sesión con datos biométricos (rostro o huella digital) en docenas de sitios web, incluidos destinos de compras principales como Costco, Target, Amazon y Walmart, así como sitios más técnicos como Dell, Adobe y Dropbox. La empresa que gestiona los registros de mi nombre de dominio utiliza claves de golpe, al igual que la compañía eléctrica, mi cooperativa de crédito y el consultorio de mi médico.

Encima: estoy abandonando las contraseñas por claves de golpe por una razón, y no es lo que piensas

Pero todavía escucho de lectores que no entienden muy aceptablemente qué es una secreto de golpe, cómo funciona o por qué es mejor que una contraseña.

A posteriori de un extenso intercambio en semirrecta sobre el tema con un amigo que finalmente logró un “¡Ajá!” En este momento, creo que descubrí por qué el tema es tan confuso: una secreto de golpe no es poco tangible, es una percepción. Como resultado, la mayoría de los intentos de explicar la tecnología se estancan en detalles técnicos.

Incluso la persona menos técnica que conozca puede decirle qué es una contraseña: una combinación de trivio y números, tal vez con un símbolo. Puede crear su propia contraseña usando una palabra popular, un nombre o una término, e incluso puede escribirla en una nota adhesiva. Si eres como la mayoría de las personas, reutilizas regularmente la misma contraseña o alguna variación de ella, aunque sabes que probablemente sea una mala idea.

Encima: Cómo funcionan las claves de golpe: la prontuario completa para su ineludible futuro sin contraseñas

Una secreto de golpe, por otra parte, es difícil de describir. Si le digo que es una credencial digital segura generada a partir de una secreto pública y una secreto privada, ¿puede formarse una imagen mental que combine con esas palabras? Probablemente no. Relegar la definición en detalles más técnicos no ayudará.

Pero creo que podemos conservarse allí, juntos, en un lengua sencillo (en su mayoría) no técnico y sin mucha galimatías, simplemente repasando las preguntas que sigo escuchando de los lectores.

¿Qué es una secreto de golpe?

Una secreto de golpe es una credencial segura y guardada que le permite iniciar sesión en un sitio web o servicio web específico demostrando su identidad con datos biométricos o un PIN. Las claves de golpe se definen utilizando el Habitual de autenticación web (WebAuthn).

¿Qué sucede cuando creas una secreto de golpe?

Cuando crea una secreto de golpe, en ingenuidad está generando y guardando dos piezas coincidentes de información digital cifrada: una en el sitio web o servicio en el que está iniciando sesión (esto se denomina en el típico parte que confía) y un segundo en su dispositivo. Esas claves sólo pueden funcionar juntas; uno es inútil sin el otro.

Así es como funciona:

Vas a un sitio web e inicias sesión como de costumbre con tu contraseña. A posteriori de iniciar sesión, verá un mensaje: ¿Le gustaría crear una secreto de golpe? Y dices: “Bueno, sí, lo haría”. O, si el sitio web no ofrece ayuda para crear una secreto de golpe, encontrará la opción en la página de configuración de seguridad de su cuenta. La venidero captura de pantalla muestra lo que ve en Dell.com, por ejemplo.

Deberá nominar qué autenticador usar para crear la secreto de golpe (más sobre eso en un momento), pero más allá de eso, no necesita hacer nadie más. Ya inició sesión con su contraseña, por lo que el sitio web sabe que está calificado a usar esa cuenta.

El sitio web o servicio al que se está conectando portero una secreto de criptográfico única en su servidor, y su autenticador (su dispositivo o administrador de contraseñas) genera una segunda secreto de criptográfico privada y única y la almacena en una ubicación segura en su dispositivo.

Esa es la secreto de golpe: dos secretos, uno en cada extremo, que funcionan juntos para establecer su derecho a usar la cuenta. Su nombre de favorecido y contraseña ya no están involucrados y nadie podrá ver la secreto de criptográfico privada en su computadora, ni siquiera usted.

¿Qué autenticador debo usar?

Cuando crea una secreto de golpe, elige qué autenticador usar. La ubicación predeterminada es el propio dispositivo, como una PC que admita la autenticación biométrica de Windows Hello. Todavía puede nominar un administrador de contraseñas que admita claves de golpe o incluso utilizar una secreto de seguridad de hardware.

¿Por qué importa eso? Si utiliza su PC o dispositivo móvil o una secreto de seguridad de hardware como autenticador, está creando una secreto de golpe vinculada al dispositivo. Sólo funcionará unido con ese hardware. Si intenta iniciar sesión en un dispositivo diferente, o si la secreto de seguridad del hardware no está a mano, no tendrá golpe a esa secreto de golpe.

Por el contrario, un administrador de contraseñas puede eludir claves de golpe sincronizables que puedes usar en múltiples dispositivos. Google Password Manager y iCloud Keychain pueden sincronizar sus claves de golpe entre dispositivos. Todavía pueden hacerlo los administradores de contraseñas de terceros como 1Password o Bitwarden. (Para obtener una relación actualizada de autenticadores de claves de golpe, consulte este página de GitHub.)

Ver incluso: Los usuarios de Windows 11 acaban de obtener una forma más conveniente de acumular claves de golpe

Si ya está acostumbrado a utilizar un administrador de contraseñas que admita claves de golpe, esa es su mejor opción. Podrás crear, regir y usar claves de golpe usando la misma interfaz que ya has estado usando.

Y aquí hay un consejo importante: puede utilizar múltiples autenticadores de claves de golpe y crear múltiples claves de golpe para el mismo sitio. Para algunos sitios de suspensión valencia, he creado claves de golpe en dos o más claves de hardware y en 1Password, lo que me brinda varias formas de iniciar sesión de forma segura en esos sitios, incluso en hardware desconocido.

¿Cómo se utiliza una secreto de golpe?

Cuando recepción un sitio web donde previamente creó una secreto de golpe, ingresa su dirección de correo electrónico o nombre de favorecido como de costumbre, pero en área de ver un cuadro donde ingresa una contraseña, ve un mensaje: ¿Le gustaría iniciar sesión con su secreto de golpe? Usted dice que sí y hace clic en el pimpollo de su secreto de golpe guardada.

El sitio web envía su secreto a su PC o administrador de contraseñas para ser autenticado y dice, de hecho, “La persona asociada con esta secreto desea entrar a su cuenta. ¿Está de acuerdo con eso?”

Su autenticador (Windows Hello en una PC, iCloud Keychain en un dispositivo Apple o una secreto de hardware) confirma que la solicitud proviene de una fuente válida y no de un sitio web de phishing; luego compara esa secreto con la información guardada en su secreto de golpe, confirma que coinciden y le pide que se identifique con datos biométricos o un PIN.

Encima: ya utiliza un enfoque exclusivo de software para la autenticación de secreto de golpe

Cuando haces eso, el autenticador le dice al sitio web que has demostrado tu identidad y que tienes una secreto de golpe coincidente. Ahora ha iniciado sesión, tal como lo habría hecho si hubiera utilizado su contraseña.

Su PC o administrador de contraseñas nunca envió la secreto de golpe al sitio web, por lo que no pudo ser interceptada ni copiada. Todo lo que hizo fue afirmar que usted es usted y que la secreto de golpe coincide.

¿Dónde se almacenan las claves de golpe?

Sus claves de golpe se almacenan en una ubicación segura en su teléfono o computadora, protegidas por hardware criptográfico: el TPM en una PC con Windows, el Secure Enclave en un dispositivo Mac o iOS, o un entorno de ejecución confiable en un dispositivo Android.

Sólo el autenticador puede entrar a una secreto de golpe y sólo puede hacerlo a posteriori de que haya demostrado su identidad. El sistema de archivos no puede entrar a las claves de golpe, lo que significa que no puede usar el Explorador de archivos o el Finder para desplazarse por su colección de claves de golpe.

Todavía: Apple, Microsoft o Google: ¿de quién es el autenticador de plataforma que gobierna nuestro futuro de secreto de golpe?

No puede rajar una secreto de golpe e inspeccionar su contenido. No puedes hacer una copia de una secreto de golpe guardada en tu teléfono o computadora, y no puedes usar una secreto de golpe accidentalmente si un delincuente te engaña con un sitio web espurio diseñado para parecer verdadero.

¿Qué sucede con mi contraseña a posteriori de crear una secreto de golpe?

Algún día, en el interior de muchos abriles, podríamos morar en un mundo sin contraseñas. Ese día no es hoy.

Encima: Cómo configurar fácilmente claves de golpe a través de mi administrador de contraseñas

Por ahora, las claves de golpe son una alternativa a las contraseñas y, por lo común, su contraseña permanece habitable como una forma de iniciar sesión en un sitio donde ha creado una secreto de golpe. Algunos servicios le permitirán eliminar una contraseña a posteriori de crear varias claves de golpe (puede hacerlo con su cuenta de Microsoft, por ejemplo), pero esas opciones aún son poco comunes.

¿Por qué una secreto de golpe es más segura que una contraseña?

Cuando usas una contraseña, esto es lo que sucede: vas a un sitio web, ingresas tu nombre de favorecido y contraseña y haces clic en un pimpollo. Si todo va aceptablemente, habrás iniciado sesión. Pero hay muchas cosas que pueden salir mal.

Para entablar, las contraseñas pueden ser objeto de phishing. Si un delincuente puede crear un sitio web que se parece a la página de inicio de sesión de su sotabanco, es posible que lo engañen para que ingrese su contraseña allí, momento en el cual el delincuente puede iniciar sesión como usted y robar los fondos de su cuenta bancaria.

Las contraseñas se pueden adivinar, ya sea con ataques de fuerza bruta que prueban todas las combinaciones posibles de trivio, números y símbolos, o mediante un atacante que descubre su contraseña obvio de adivinar. Pregúntenle a Donald Trump, cuyas contraseñas de cuenta de Twitter no fueron difíciles de adivinar — estás despedido en 2014 y maga2020! seis abriles a posteriori.

Encima: Cómo reemplacé la contraseña de mi cuenta de Microsoft con una secreto de golpe

Todavía se pueden robar las contraseñas. Un registrador de teclas o un troyano de golpe remoto pueden mandar sus contraseñas a un atacante, o pueden usar la opción de tecnología extremadamente desprecio de “navegar por los hombros”, observando mientras escribe su nombre de favorecido y contraseña, tal vez con la ayuda de una cámara de video.

Incluso si su opsec es consumado, aún pueden secuestrar su contraseña si el sitio web hace un mal trabajo al almacenarla y protegerla.

Finalmente, podría (imprudentemente) reutilizar esa combinación de nombre de favorecido y contraseña en otros sitios, y sería abandonado si la contraseña de un sitio alguna vez se filtrara o fuera objeto de phishing.

Las claves de golpe son inmunes a esos ataques. Un phisher perito podría engañarlo haciéndole creer que un sitio web espurio es verdadero, pero nunca tendrá golpe a la secreto de golpe porque el dominio y la secreto de criptográfico asociada no coinciden. Y no puede ser robado porque nunca sale de su repositorio seguro en su dispositivo.

La única forma de desbloquearlo es si se identifica con datos biométricos o un PIN a posteriori de que su autenticador reciba una solicitud legítima de un servidor remoto.

¿Debo preocuparme por hacer que las claves de golpe sean únicas?

Durante abriles, ha estado leyendo columnas de consejos que le dicen lo importante que es tener una contraseña única para cada sitio. Entonces, ¿es necesario tener el mismo nivel de precaución y crear una secreto de golpe única para cada sitio que las permita?

¡Ja! Esa es casi una pregunta capciosa. Las claves de golpe son únicas por definición. Cada secreto de golpe se compone de dos claves de criptográfico independientes que se generan para su uso solamente con el sitio o servicio donde se creó.

Sin retención, puedes tener varias claves de golpe para un solo sitio. Si están vinculados a un dispositivo, es posible que tengas uno para tu computadora portátil y otro para tu teléfono. O puede que tengas una o más llaves de hardware como una YubiKey. Como mencioné anteriormente, crear claves de golpe sincronizables en su administrador de contraseñas es la opción más conveniente.