Las contraseñas no son el problema

Incluso las buenas contraseñas ya no sirven, porque se las roban a las compañías donde las usamos. ¿Entonces la solución es eliminar las claves? Depende

Estos días hubo un número de novedades relacionadas con la seguridad informática. Esperen, no bostecen todavía. La cuestión está empezando a ponerse tan espesa que Apple, Google y Microsoft (que no se pueden ni ver) decidieron darles su apoyo a la Alianza FIDO y al Consorcio W3 en su esfuerzo por eliminar las contraseñas. La idea, sin entrar en detalles, porque es un poco más compleja que esto , es que tu teléfono funcione como el mecanismo de autenticación . Como cuando usás la autenticación de múltiple factor , pero siempre, todo el tiempo y para todos los servicios y dispositivos. La iniciativa surge -aducen- Del hecho de que las contraseñas que usamos no solo son malas, débiles, fáciles de adivinar o de quebrantar, sino que además se reciclan. O sea, se usa la misma clave para todos los servicios. Para peor, las compañías han demostrado una irresponsabilidad mayúscula en este aspecto, y les roban las contraseñas de sus usuarios cada dos por tres. Técnicamente se las denomina brechas de seguridad , que queda más canchero. Según el sitio https://haveibeenpwned.com , al día de hoy se han visto comprometidas ( pwned , en la jerga) casi 11.800 millones de cuentas. Repito: más de 11.800 millones.

Así que, como es lo más cómodo, todos los dedos señalan a las contraseñas, y FIDO y el W3C han venido trabajando desde hace mucho en un estándar que vendría a liberarnos de este enojoso asunto. ¿Cómo funcionaría la autenticación sin contraseñas, grosso modo? El método usaría una passkey (una clave, se entiende que segura) alojada en nuestro teléfono, y usaríamos el dispositivo para autenticarnos, automáticamente. En teoría, no es una mala idea. Todavía estoy haciendo consultas sobre el alcance de esta movida, así que ya habrá más noticias al respecto. Pero ya hay dos asuntos que me preocupan.

El anonimato como herramienta

El primero es la confusión entre contraseña y persona. Una contraseña es algo aparte de la persona. Si vamos a usar un teléfono, que básicamente es una extensión de nuestra persona y sabe dónde estamos y lo que hacemos a cada milisegundo, o, peor todavía, si vamos a tener que conceder (como ya lo estamos haciendo en niveles escalofriantes) nuestros datos biométricos (cara, huellas dactilares), entonces no estamos eliminando las contraseñas. Estamos usando a la persona como...