La “passkey” o llave de acceso en español, es una credencial digital que se guarda en el teléfono y se desbloquea con la huella, el rostro o el PIN del dispositivo; se activa desde la configuración del celular, sin necesidad de instalar nada adicional.
Ángel Arturo Pech Che, coordinador de Ingeniería en Ciberseguridad de la Universidad Politécnica de Yucatán (UPY) afirma que es momento de actualizarnos a la era digital y dejar atrás las contraseñas por la passkey; a su juicio, esta es la solución más segura y el estándar del futuro para la protección de los datos personales en la red.
“La ‘passkey’, o llave de acceso en español, es una credencial digital que se guarda en el teléfono y se desbloquea con la huella, el rostro o el PIN del dispositivo. Se activa desde la configuración del celular, sin necesidad de instalar nada adicional”, explica.
El experto afirmó que la contraseña tradicional ya es historia. El especialista, quien además imparte la materia de “Ethical Hacking” en la UPY, retoma el tema para profundizar sobre los mecanismos que están sustituyendo a las claves convencionales como medidas de seguridad.
Para quienes busquen un nivel adicional de protección, añade, existen llaves físicas de seguridad similares a una memoria USB. Sin embargo, para la mayoría de los usuarios, el teléfono resulta más que suficiente.
“El problema de la contraseña es que es un secreto, y todo secreto se puede extraer. Le muestran al usuario una página falsa del banco, la escribe confiado y ya se la quitaron. Hasta el código enviado por mensaje puede ser interceptado; eso lo demostramos en el laboratorio con los alumnos”, advierte.
En contraste, la “passkey” opera de una manera completamente diferente: cuenta con dos mitades de una llave que se reconocen entre sí, sin que en ningún momento se exponga información sensible.
Una mitad se queda guardada en el módulo de seguridad del teléfono y jamás sale de ahí; ni el propio usuario la puede ver. La otra mitad permanece en el servicio donde se realizó el registro. Al ingresar a la cuenta, ambas partes se reconocen y el acceso se concede. No se escribe nada, nada viaja por la red y no hay información que pueda robársele al usuario.
Si por ejemplo se cae por error en una copia perfecta de tu banco hecha por delincuentes hay una gran ventaja: la llave reconoce cuál es el sitio verdadero. En la página pirata simplemente no funciona, aunque la interfaz sea idéntica. Al estafador le quitamos su herramienta favorita, que somos nosotros mismos escribiendo donde no debemos”, precisa.
El académico ofrece una guía sencilla para activar la “passkey” en la cuenta de Google (en Android) o en el Apple ID (en iPhone). Esta acción es la principal, ya que desde ahí se respalda y recupera la información de los demás servicios.
En el sistema Android, basta con ingresar a los ajustes del teléfono, buscar la sección de Google, seleccionar la opción para gestionar la cuenta y deslizarse entre las pestañas superiores hasta la de seguridad. En la parte inferior aparece la opción de llaves de acceso; al seleccionar la casilla, el sistema solicita la huella o el rostro y la función queda activada.
En dispositivos iPhone se deben abrir los ajustes, tocar el nombre del usuario en la parte superior, ingresar a la sección de inicio de sesión y seguridad, y activar la herramienta. Los modelos más recientes incluyen una aplicación denominada “Contraseñas”, desde donde se pueden administrar todas las llaves de acceso.
El caso que más conviene explicar con detenimiento, en opinión del experto, es WhatsApp, pues los métodos de robo han evolucionado y muchas personas aún solo se cuidan de los engaños tradicionales.
“El engaño del código de seis dígitos sigue circulando, pero lo que estamos viendo ahora es más fino. La campaña más reciente se llama ‘GhostPairing’ y fue documentada por investigadores hace unos meses.
Llega un mensaje de un contacto conocido (cuya cuenta ya fue comprometida) indicando que encontró una fotografía donde aparece el usuario. Al abrir el enlace por curiosidad, la víctima encuentra una página que imita el inicio de sesión de una red social, la cual solicita el número de teléfono y después un código o escanear un QR”, revela.
En realidad, se está ejecutando el proceso legítimo de vinculación de dispositivos de WhatsApp, y el equipo que se autoriza es el navegador del delincuente. Para la plataforma todo el proceso es válido porque el usuario lo aprobó. A esto se suma el secuestro de la eSIM, donde el atacante transfiere el número a su equipo sin tocar el teléfono celular. Ya no roban la cuenta arrebatándola, sino haciendo que la persona firme la entrega.
Para evitar caer en esta trampa, la ruta de protección paso a paso es sencilla.
El usuario debe abrir WhatsApp e ir a los ajustes (en Android corresponden a los tres puntos en la esquina superior derecha; en iPhone, al engranaje ubicado abajo a la derecha). Una vez adentro, se debe seleccionar la opción de cuenta y buscar la casilla llamada llave de acceso o “passkey”.
Al pulsar el botón para crear la llave de acceso, el teléfono solicita la huella, el rostro o el PIN para confirmar la identidad del titular. Posteriormente, notificará que la llave quedó guardada (en el Administrador de contraseñas de Google para Android o en el llavero de iCloud para iPhone).
La próxima vez que se requiera verificar WhatsApp, en lugar de esperar un mensaje con un código, el dispositivo pedirá la huella digital, un dato que no se le puede dictar a nadie. Como complemento, dentro del menú de ajustes se sugiere revisar la sección de dispositivos vinculados.
Si aparece un navegador o equipo no reconocido, hay que cerrarlo de inmediato. Ese hábito de 30 segundos desarma la vinculación fantasma y conviene repetirlo con frecuencia.
Ante la duda recurrente de qué sucede si se pierde el celular, la respuesta del especialista resulta tranquilizadora: las llaves viajan respaldadas y cifradas en la cuenta de Google o de Apple. Al estrenar equipo e ingresar con la cuenta principal, las “passkeys” se transfieren automáticamente. Quien encuentre el teléfono extraviado no podrá hacer uso de ellas sin la huella o el PIN del propietario.
Con la consolidación de las “passkeys”, el panorama de la seguridad digital cambia. Pech Che considera que este método no solo es más seguro, sino que elimina la necesidad de memorizar múltiples contraseñas. “La tecnología avanza y nosotros debemos adaptarnos. Las ‘passkeys’ son el futuro de la seguridad digital”, concluye.
