Claves de seguridad de hardware
Una clave de seguridad de hardware es un pequeño autenticador físico que ayuda a demostrar que un usuario realmente está iniciando sesión, utilizando respuestas criptográficas en lugar de códigos reutilizables o contraseñas por sí solos.
Qué hace el dispositivo
Las claves de seguridad de hardware están diseñadas para flujos de trabajo de inicio de sesión y aprobación. Se conectan mediante USB, NFC o Bluetooth y responden a un desafío de inicio de sesión de un sitio web, una aplicación o un sistema operativo. La parte importante es que la clave no envía un código estático que pueda copiarse y reproducirse. En su lugar, utiliza criptografía de clave pública para responder a un desafío vinculado al sitio o servicio específico que solicita autenticación.
Esto hace que esta categoría sea útil para la autenticación multifactor resistente al phishing. Si un usuario es engañado para visitar una página de inicio de sesión falsa, por lo general la clave no completará la autenticación para el dominio incorrecto. Ese enlace al dominio es una de sus principales ventajas técnicas frente a los códigos de un solo uso enviados por SMS o generados en una aplicación.
Cómo funciona técnicamente
La mayoría de las claves modernas admiten estándares como FIDO2 y WebAuthn. Durante el registro, la clave crea un par de credenciales único: una clave privada almacenada en el dispositivo y una clave pública guardada por el servicio. Durante el inicio de sesión, el servicio envía un desafío y la clave firma ese desafío después de que el usuario toque el dispositivo o introduzca un PIN local.
- La clave privada permanece en el dispositivo: el secreto nunca necesita salir de la clave.
- Credenciales por sitio: distintos servicios obtienen credenciales diferentes, lo que reduce el rastreo y la reutilización.
- Presencia o verificación del usuario: un toque, pulsación de botón o PIN ayuda a confirmar que el usuario está físicamente presente.
Algunas claves también admiten inicio de sesión al estilo de tarjeta inteligente, passkeys o flujos de trabajo de certificados empresariales. El conjunto exacto de funciones importa más que la etiqueta, porque las organizaciones pueden necesitar compatibilidad con navegadores, sistemas operativos, VPN o proveedores de identidad.
Qué especificaciones importan
Al evaluar esta familia de productos, los detalles prácticos son la compatibilidad, el tipo de conector y la compatibilidad con credenciales. USB-A y USB-C son comunes para ordenadores, mientras que NFC ayuda en dispositivos móviles. Bluetooth está disponible en algunos modelos, pero añade consideraciones de emparejamiento y batería. En muchas implementaciones, USB más NFC es más simple y fiable.
Otras especificaciones útiles incluyen:
- Compatibilidad con FIDO2/WebAuthn: importante para el inicio de sesión web moderno.
- Compatibilidad con PIN: añade verificación local para cuentas de mayor riesgo.
- Almacenamiento de credenciales de respaldo: útil si el servicio permite varias claves por cuenta.
- Durabilidad y carcasa: los dispositivos pequeños son fáciles de perder, por lo que la construcción física importa.
Configuración y mantenimiento
Un buen despliegue comienza registrando al menos dos claves por cada cuenta crítica: una principal y una de respaldo guardada por separado. Los usuarios deben probar el inicio de sesión antes de confiar en el dispositivo, especialmente para cuentas de administrador, correo electrónico, acceso remoto y consolas en la nube. Si una organización utiliza inicio de sesión único, primero debe configurarse el proveedor de identidad para que la clave funcione de forma consistente en todos los servicios.
El mantenimiento es ligero, pero no inexistente. Las organizaciones deben inventariar las claves emitidas, definir procedimientos para dispositivos perdidos y revisar qué cuentas siguen dependiendo de factores más débiles. Los usuarios también deben saber cómo recuperar el acceso sin crear un cuello de botella por restablecimiento de contraseña ni un atajo del servicio de asistencia que sea más fácil de abusar que la propia clave.
Límites y errores que evitar
Las claves de seguridad de hardware refuerzan la autenticación, pero no corrigen contraseñas débiles, servicios expuestos, mala aplicación de parches ni hábitos administrativos inseguros. Tampoco impiden que un delincuente use una sesión válida después del inicio de sesión, por lo que el tiempo de espera de sesión, las reglas de confianza del dispositivo y la supervisión siguen siendo importantes.
Los errores comunes incluyen registrar solo una clave, dejar la de respaldo en la misma bolsa que la principal, ignorar la planificación de recuperación de cuentas y asumir que todas las aplicaciones heredadas pueden usar el mismo método de inicio de sesión. Antes del despliegue, compruebe dónde es compatible la clave y dónde siguen necesitando controles alternativos.