Llaves de seguridad FIDO2/Passkeys: Qué son, cómo funcionan y por qué reemplazan a las contraseñas

En un entorno digital donde el robo de credenciales y los ciberataques por phishing están a la orden del día, los sistemas tradicionales de protección se han quedado cortos. Aunque la verificación en dos pasos (2FA) mediante SMS o aplicaciones de autenticación supuso un avance, sigue siendo vulnerable a técnicas avanzadas de intercepción.

Aquí es donde entran las llaves de seguridad físicas (basadas en los estándares FIDO2 y WebAuthn), dispositivos de tamaño similar a un pendrive USB que convierten el inicio de sesión en un proceso prácticamente inexpugnable.

Llave de seguridad conectada en equipo

 ¿Qué es exactamente una llave de seguridad física?

Una llave de seguridad es un pequeño dispositivo de hardware diseñado con un único propósito: demostrar tu identidad de forma física ante un ordenador, móvil o servicio web.

A diferencia de una memoria USB convencional, no sirve para almacenar archivos personales como fotos o documentos. En su interior alberga un chip criptográfico seguro encargado de gestionar credenciales digitales e interactuar con servicios como Google, Microsoft, Apple o gestores de contraseñas.

Existen diferentes formatos en el mercado para adaptarse a todo tipo de equipos:

• USB-A y USB-C: Para conectar directamente a ordenadores de sobremesa, portátiles o tabletas.

• NFC (Near Field Communication): Permite autenticarse en teléfonos móviles simplemente acercando la llave a la parte trasera del dispositivo sin necesidad de cables.

• Lightning: Diseñadas para modelos anteriores de iPhone.

USB C y USB Lightning

 Cómo funciona por dentro: La magia de la criptografía asimétrica

El funcionamiento de una llave de seguridad se basa en el estándar de autenticación abierta FIDO2/WebAuthn, desarrollado por la FIDO Alliance y el W3C. Para entender cómo protege tus cuentas sin revelar datos sensibles, el proceso se divide en dos fases sencillas:

Fase 1: El registro en el servicio

Cuando vinculas la llave por primera vez a una cuenta (por ejemplo, tu correo electrónico):

1. El dispositivo genera internamente un par de claves criptográficas únicas para ese sitio web específico: una clave pública y una clave privada.

2. La clave pública se envía al servidor del servicio web.

3. La clave privada se guarda bajo secreto absoluto dentro del chip seguro de la llave y nunca sale de ella.

Fase 2: El inicio de sesión habitual

Cuando intentas acceder a la cuenta desde un nuevo navegador o dispositivo:

1. El servidor del sitio web envía un desafío criptográfico aleatorio a tu equipo.

2. Introduces la llave en el puerto USB o la acercas por NFC y tocas el botón o sensor táctil integrado.

3. La llave utiliza su clave privada para firmar ese desafío y se lo devuelve al servidor.

4. El servidor verifica la firma con la clave pública guardada previamente y te concede el acceso al instante.

Dispositivos YubiKey

 ¿Por qué es inmune al phishing?

El método de autenticación convencional basado en códigos SMS o aplicaciones de código temporal (TOTP) tiene un punto débil: si un atacante crea una página web falsa idéntica a la de tu banco o correo y tú introduces ahí el código de 6 dígitos, el pirata informático lo recibe en tiempo real y entra en tu cuenta.

Las llaves de seguridad físicas eliminan este riesgo de raíz gracias a la vinculación de dominio (Domain Binding):

• El chip de la llave analiza la dirección URL exacta del navegador web antes de firmar el desafío.

• Si estás en accounts.google.com, la llave responderá con éxito.

• Si estás en una página falsa como accounts-google-login-fake.com, la llave detectará que el dominio no coincide con el registro original y se negará rotundamente a enviar la firma, bloqueando el ataque automáticamente.

 Guía práctica de uso diario: Paso a paso

El proceso de uso en el día a día destaca por su sencillez:

1. Escribe tu usuario: Introduce tu nombre de usuario o correo en la pantalla de inicio de sesión.

2. Conecta la llave: Inserta el dispositivo en el puerto USB de tu ordenador o acércalo a la parte trasera de tu smartphone mediante NFC.

3. Toca el sensor: Presiona suavemente el botón o el área metálica dorada de la llave. Este gesto físico demuestra presencia humana e impide que un programa maligno intente usar la llave en remoto.

4. Acceso concedido: El sistema verifica la autenticidad en milisegundos y carga tu sesión.

 ¿Qué pasa si pierdes la llave de seguridad?

Es una de las dudas más frecuentes a la hora de dar el salto a esta tecnología. Al ser un dispositivo físico, existe el riesgo de pérdida o extravío, pero esto no significa que vayas a quedar bloqueado para siempre fuera de tus cuentas:

• Un tercero no podrá entrar a tus cuentas: Si alguien encuentra tu llave en la calle, no le servirá de nada. La llave no lleva escrita tu dirección de correo ni tu contraseña. Sin tu clave principal, la llave física es totalmente inútil para un extraño.

• Acceso mediante métodos de respaldo: Al configurar tu llave por primera vez en servicios como Google, Microsoft o Apple, la propia plataforma te exige definir métodos alternativos de acceso. Puedes entrar usando códigos de recuperación de emergencia (impresos o guardados en un lugar seguro) o mediante un segundo factor de autenticación configurado previamente.

• La regla de las dos llaves: La recomendación oficial de los expertos en ciberseguridad es registrar siempre dos llaves físicas por cada cuenta:

  1. Llave principal: La que llevas a diario en el llavero o junto a tus dispositivos.

  2. Llave de respaldo (Backup): Una segunda llave vinculada a las mismas cuentas que se guarda bajo llave en casa o en la oficina. Si pierdes la principal, solo tienes que usar la de repuesto para entrar, desvincular la llave perdida en los ajustes de seguridad y asociar una nueva.

 Ventajas clave frente a otros métodos de autenticación

• Seguridad absoluta contra robos remotos: Nadie puede acceder a tus cuentas desde la otra punta del mundo sin poseer físicamente el dispositivo.

• Rapidez de uso: Iniciar sesión toma un par de segundos, siendo mucho más ágil que consultar un teléfono, abrir una app de autenticación y teclear un código manual.

• Sin dependencia de cobertura móvil: Funciona en zonas sin red de telefonía o Wi-Fi y no requiere batería ni recargas.

• Durabilidad: Diseñadas para resistir golpes, agua y el desgaste de llevarlas junto a las llaves de casa.

Modelos de referencia recomendados

Para equiparte o elegir un modelo compatible según tus necesidades, estos son los referentes del mercado:

• Serie Yubico YubiKey 5 (La referencia del sector):

  • YubiKey 5 NFC (USB-A o USB-C): El modelo más versátil. Ofrece compatibilidad total con FIDO2/WebAuthn, conector físico para portátil o PC y chip NFC para iniciar sesión en móviles Android e iPhone al tacto.

  • YubiKey 5C Nano: Diseñada para quedarse fija de forma ultracompacta en el puerto USB-C de tu portátil.

• Google Titan Security Key: La alternativa oficial de Google con conectividad USB-C y NFC, optimizada para la suite de Google y el programa de Protección Avanzada.

• Kensington VeriMark: Una solución enfocada a entornos de oficina que combina el estándar FIDO2 con un lector de huellas dactilares compatible con Windows Hello.

Conclusión

Las llaves de seguridad físicas han dejado de ser una herramienta exclusiva de grandes corporaciones para convertirse en un estándar accesible para cualquier usuario consciente de la privacidad de sus datos. La combinación de una contraseña fuerte, una llave principal y una llave de respaldo guardada en casa garantiza un nivel de protección prácticamente inquebrantable frente a los ciberataques modernos.