¿Qué es FIDO?: el estándar de autenticación 'online' y la revolución de las Passkeys
El uso de contraseñas ha sido durante mucho tiempo el eslabón más débil en la ciberseguridad. Los olvidos, la reutilización de la misma clave en múltiples servicios y los ataques de phishing ponen en riesgo las contraseñas de cualquier usuario. Para solucionar este problema, nació el estándar FIDO (Fast IDentity Online), una iniciativa que busca unificar y elevar la seguridad en internet con mecanismos de autentificación más seguros protegidos por sistemas de encriptación con el objetivo de ir utilizando cada vez menos las contraseñas.
Para entender bien el estándar FIDO hay que abordar sus orígenes.- Así, se debe empezar señalando que fue creada por la Alianza FIDO.
¿Qué es la Alianza FIDO?
La FIDO Alliance o Alianza FIDO es un consorcio industrial abierto fundado en 2012 por empresas líderes del sector tecnológico y financiero (como Google, Microsoft, Apple, Amazon y grandes entidades bancarias). Su objetivo principal es cambiar la naturaleza de la autenticación online, desarrollando estándares técnicos que definan un conjunto abierto, escalable e interoperable de mecanismos que eliminen la dependencia de las contraseñas.
La evolución actual: Las Passkeys (Claves de acceso)
FIDO se basa en la criptografía asimétrica (o de clave pública). Aunque los protocolos detrás de FIDO (como FIDO2 y WebAuthn) llevan años desarrollándose, su adopción masiva por parte del usuario de a pie se está popularizando recientemente bajo un nombre mucho más comercial y fácil de entender: las Passkeys.
¿Qué es una 'passkey' y cómo funciona en la práctica?
Las passkeys o claves de acceso representan la evolución tecnológica diseñada para sustituir definitivamente a las contraseñas tradicionales. Su premisa es sencilla: en lugar de obligar al usuario a crear, memorizar y renovar constantemente cadenas de caracteres complejas, las passkeys delegan la seguridad en los dispositivos que ya utilizamos a diario (nuestro teléfono inteligente, tableta u ordenador).
Para entender su funcionamiento sin entrar en la complejidad de la criptografía, podemos visualizarlo como un sistema de validación de dos partes que se comunican entre sí de forma invisible para el usuario.
Cuando una persona configura una passkey en una aplicación o página web compatible, se crea una credencial digital única que consta de dos elementos:
- Una credencial pública, que se almacena de forma segura en los servidores de la empresa que presta el servicio (por ejemplo, una plataforma de comercio electrónico o los servidores del banco).
- Una credencial privada, que queda custodiada y encriptada en un chip de alta seguridad dentro del propio dispositivo del usuario.
En el momento de iniciar sesión, el servidor de la empresa solicita al dispositivo del usuario que confirme su identidad. Para ello, el servidor envía un "desafío" criptográfico al dispositivo del usuario, que utiliza la clave privada para "firmar" ese desafío y devolver la respuesta. Aquí es donde reside el avance para el usuario: no es necesario escribir nada. Para autorizar el acceso, el usuario simplemente debe utilizar el mismo método que emplea para desbloquear la pantalla de su terminal, ya sea la huella dactilar, el reconocimiento facial o el PIN local.
Al hacerlo, el dispositivo confirma la identidad y la sesión se inicia de manera casi instantánea.
Y lo mejor de este sistema: los datos biométricos del usuario nunca viajan por internet ni llegan a los servidores de la empresa; solo sirven para desbloquear la clave localmente, protegiendo su privacidad al 100%.
Ventajas del uso de las passkeys
La sustitución de la contraseña tradicional por la biometría del dispositivo aporta tres beneficios fundamentales:
- Experiencia de usuario sin fricciones: El proceso de inicio de sesión se vuelve mucho más ágil y natural. Se elimina por completo la necesidad de recuperar la contraseña clásica de un gestor de contraseñas, además de desaparecer el olvido de contraseña y la necesidad de recurrir a los procesos de recuperación de las mismas.
- Máxima resistencia frente al 'phishing': Al no existir una contraseña que el usuario pueda escribir, es imposible que un ciberdelincuente se la robe mediante engaños (como correos electrónicos o SMS fraudulentos). Además, la credencial privada está vinculada al sitio web legítimo; si el usuario entra en una web clonada por atacantes, el dispositivo detectará que no es la web oficial y bloqueará la validación.
- Privacidad biométrica garantizada: Los datos biométricos nunca abandonan el dispositivo inteligente. La empresa que ofrece el servicio jamás recibe ni almacena esa información; el rostro o la huella dactilar solo actúan como la "llave" local que autoriza al teléfono a enviar la confirmación criptográfica.