FIDO2 Security Key

Una clave de seguridad FIDO2 es un pequeño autenticador de hardware para una protección de inicio de sesión sólida. Sustituye las contraseñas reutilizables o añade un segundo factor con una prueba criptográfica vinculada al sitio o la aplicación en la que inicias sesión.

Qué es una clave de seguridad FIDO2

Una clave de seguridad FIDO2 es un token físico usado para iniciar sesión. Almacena material criptográfico privado dentro del dispositivo y lo usa para responder a un desafío de inicio de sesión de un servicio compatible. La clave no es un almacén de contraseñas y no revela un secreto que pueda copiarse y reutilizarse en otro lugar.

En la práctica, se usa de dos formas comunes: como segundo factor después de una contraseña, o como método de inicio de sesión sin contraseña en el que la clave y un PIN o un gesto en el dispositivo reemplazan por completo la contraseña. La principal ventaja es que la prueba de inicio de sesión se genera para un sitio web o aplicación específica, lo que dificulta mucho su reutilización en ataques de phishing o de repetición de credenciales.

Cómo funciona técnicamente

FIDO2 es un estándar abierto basado en criptografía de clave pública. Cuando registras una clave en un servicio, la clave crea un nuevo par de claves. La clave privada permanece dentro del hardware y la clave pública la almacena el servicio. Durante el inicio de sesión, el servicio envía un desafío; la clave firma ese desafío solo después de una acción local del usuario, como tocar el dispositivo o introducir un PIN.

Como la respuesta firmada está vinculada al origen del sitio, una página de inicio de sesión falsa no puede engañar fácilmente a la clave para que autentique en el lugar equivocado. Ese vínculo al origen es lo que diferencia a FIDO2 de métodos anteriores como los códigos de un solo uso enviados por SMS o por aplicaciones, que un atacante todavía puede retransmitir en tiempo real.

Qué especificaciones importan

No todas las claves de seguridad admiten las mismas funciones. Los detalles más útiles suelen ser prácticos más que llamativos:

• Interfaz: la compatibilidad con USB-A, USB-C, NFC o Lightning afecta a qué dispositivos pueden usar la clave.
• Compatibilidad con protocolos: busca compatibilidad con FIDO2 y WebAuthn para navegadores y servicios modernos.
• Métodos de autenticación: algunas claves solo requieren un toque; otras también admiten un PIN para verificación local.
• Credenciales residentes: permiten el inicio de sesión sin contraseña o credenciales detectables en la propia clave.
• Capacidad: una clave puede almacenar varias credenciales, pero el espacio sigue siendo limitado.

En entornos administrados, la compatibilidad con proveedores de identidad, políticas del navegador, dispositivos móviles y flujos de recuperación importa tanto como la clave en sí.

Dónde ayuda y dónde no

Una clave FIDO2 es más útil donde preocupa la toma de cuentas: correo electrónico, paneles de administración en la nube, portales VPN, herramientas de soporte y otros inicios de sesión de alto valor. Reduce la dependencia de secretos que pueden ser objeto de phishing, adivinados, filtrados o reutilizados entre servicios.

No resuelve todos los problemas. Si un atacante ya tiene una cookie de sesión válida, un endpoint comprometido o autorización dentro de una aplicación, una clave de seguridad puede no impedir el uso indebido que ocurre después del inicio de sesión. Tampoco protege contra procesos de recuperación de cuentas débiles, procedimientos de mesa de ayuda fáciles de abusar o malware local que roba una sesión activa en un dispositivo desbloqueado.

Implementación, recuperación y errores comunes

Una buena implementación normalmente significa registrar al menos dos claves por usuario: una principal y una de repuesto guardada por separado. Las organizaciones también deberían definir las reglas de recuperación antes del despliegue, porque el fallo más común no es un problema técnico sino el bloqueo tras perder o dañar un dispositivo.

Algunos hábitos operativos útiles incluyen:

• Exigir primero el alta en cuentas privilegiadas.
• Usar claves separadas para cuentas de trabajo y personales cuando sea posible.
• Auditar qué servicios admiten inicio de sesión resistente al phishing y cuáles siguen recurriendo a métodos más débiles.
• Guardar credenciales de respaldo y códigos de recuperación en una ubicación controlada y documentada.

Entre los errores comunes están tratar la clave como una solución universal, depender de SMS como respaldo en cuentas de alto riesgo y no probar el inicio de sesión en los navegadores y dispositivos reales que la gente usa a diario.

Mantenimiento y planificación del ciclo de vida

Las claves de seguridad requieren poco mantenimiento, pero aun así necesitan planificación del ciclo de vida. Registra la emisión, el reemplazo y la retirada como cualquier otro dispositivo de control de acceso. Si se pierde una clave, revoca su registro de inmediato y verifica que la cuenta siga teniendo una ruta de recuperación válida. Si cambia el rol de un empleado, elimina los registros antiguos en lugar de dejarlos activos.

Para los lectores que deciden si esta categoría les resulta útil, la pregunta principal es simple: ¿quieres una protección de inicio de sesión que resista el phishing por diseño y no dependa de secretos compartidos y reutilizables? Si la respuesta es sí, una clave de seguridad FIDO2 es una de las herramientas más prácticas disponibles.