Las llaves maestras están experimentando un impulso renovado con nuevos programas piloto

Los anuncios de nuevos productos dan un impulso a las claves de acceso: credenciales digitales que permiten la autenticación sin contraseña utilizando claves criptográficas privadas. Esta semana, Apple y Google, así como los principales proveedores de administradores de contraseñas 1Password y Dashlane, ampliaron aún más su soporte para contraseñas.

El año pasado, Apple fue la primera empresa en ofrecer compatibilidad con claves de acceso en su plataforma iOS y presentó sus claves de acceso en la Conferencia Mundial de Desarrolladores (WWDC) de la empresa esta semana. Apple ha anunciado una API que permite que las claves de acceso funcionen con software de terceros. La API está diseñada para el lanzamiento de otoño de iOS 17, la actualización anual del sistema operativo móvil presentada en la WWDC.

Apple también está ampliando la compatibilidad con claves de paso en su navegador Safari en Mac, iPhone y iPad. El soporte de clave de acceso mejorado se muestra en Navegador Safari 17 de Apple, Vista previa en WWDC. Ya está disponible una versión beta pública, con un lanzamiento general planeado para este otoño.

Una ventaja de las claves de acceso es que pueden acelerar los inicios de sesión. Datos que Google lanzado el mes pasado mostró que los usuarios podían autenticarse con claves de paso en un promedio de 14,9 segundos, que es la mitad de los 30,4 segundos que se tarda en iniciar sesión con contraseñas.

Los defensores de las claves de acceso también afirman que son más resistentes a los ataques de phishing que los SMS, las contraseñas de un solo uso (OTP) y varias otras formas. Autenticación multifactor (MFA) porque cada uno tiene una clave privada y pública única vinculada a un dispositivo específico.

Además, las claves de paso son resistentes al phishing porque se basan en identificación biométrica como Face ID o Touch ID en lugar de contraseñas. Debido a que la clave privada nunca sale del dispositivo, no se puede robar fácilmente mientras las claves públicas residen tanto en el dispositivo como en la aplicación o el sitio web.

La introducción de Apple da impulso al mercado

La API Passkey de Apple permite a los desarrolladores integrar sus claves de acceso con aplicaciones de terceros, incluidos los administradores de contraseñas, para compartir claves de acceso. Según Apple es La API de contraseña es compatible Las ID de Apple administradas permiten la sincronización con el llavero de iCloud y los controles de acceso para administrar cómo los usuarios pueden sincronizar y compartir claves de paso.

Específicamente, la compatibilidad con Managed Apple ID para el llavero de iCloud permite que los administradores de contraseñas de terceros de compañías como 1Password y Dashlane almacenen y compartan contraseñas de iOS, iPadOS y macOS. Las claves de acceso pueden usar la verificación biométrica Autocompletar, Face ID o Touch ID de la empresa en dispositivos Apple.

1Password anunció esta semana extensiones beta para Safari en macOS, así como para los navegadores Chrome, Firefox, Edge y Brave en macOS, Windows y Linux. En una publicación de blog esta semana, Steve Won, Director de Producto de 1Password, dijo que la API haría esto Haga que las claves de acceso sean más útiles en los iPhone.

«La API permitirá a los administradores de contraseñas como 1Password crear y usar claves de acceso en cualquier aplicación nativa que tenga compatibilidad con claves de acceso adicionales, incluido Safari», señaló Won. Según Won, los desarrolladores de 1Password ahora están integrando la nueva API Passkey en su administrador de contraseñas.

Si bien Google lanzó su API Passkeys para Android a principios de este año, los desarrolladores esperaban la API iOS comparable de Apple. «Este cambio a iOS es la pieza final del rompecabezas que permitirá a terceros aprovechar al máximo las claves de paso», escribió Rew Islam, director de ingeniería e innovación de productos de Dashlane, en una publicación de blog. anuncia su soporte para iOS. «Dashlane ofrece compatibilidad con claves de acceso tanto para iOS como para Android, lo que permite un uso sin inconvenientes de las claves de acceso».

Las claves de acceso de Google son un asunto serio

Los usuarios y administradores de Google Workspace y Google Cloud ahora pueden usar sus claves de acceso para iniciar sesión en sus cuentas. Google anunció esta semana que la autenticación Passkey está disponible en versión beta abierta para más de 9 millones de organizaciones con cuentas de Google Workspace y Google Cloud. Si bien Google seguirá permitiendo que sus usuarios inicien sesión en sus cuentas personales y de trabajo con contraseñas, la empresa ve las claves de acceso como una forma de autenticación más simple y segura.

«Cuando un usuario inicia sesión en las aplicaciones de su espacio de trabajo como Gmail o Google Drive con una clave de acceso, la clave de acceso puede confirmar que un usuario tiene acceso a su dispositivo y desbloquearlo con una huella digital, reconocimiento facial u otro mecanismo de bloqueo de pantalla», señaló Shruti Kulkarni. , líder técnico de Google Workspace, y Jeroen Kemperman, gerente de producto, en una comunicación del 5 de junio de 2023: Entrada de blog. «Los datos biométricos del usuario nunca se envían a los servidores de Google ni a otros sitios web y aplicaciones».

Andrew Shikiar, director ejecutivo de FIDO Alliance, ve el último movimiento de Google como un impulso significativo para las claves de paso. «Es toda una afirmación que Passkeys esté listo para el horario de máxima audiencia y más allá», dice Shikiar. “Creemos que esto ayudará a acelerar una mayor adopción de claves de acceso.” La tecnología de claves de acceso se basa en la especificación de la Alianza FIDO, que implementa los requisitos del World Wide Web Consortium (W3C). estándar de autenticación web.

Hay muchos pilotos de llave maestra en Enterprise

Según Shikiar, la cantidad de organizaciones que prueban las claves de acceso sigue creciendo. Estos incluyen varios bancos importantes, PayPal, Home Depot, Hyatt Hotels, Intuit y Shopify. hyatt usado autenticación FIDO con YubiKeys de YubiCo para habilitar la autenticación sin contraseña para los empleados del hotel y el personal del centro de llamadas.

«Ponieron mucho trabajo en la implementación de FIDO y Passkeys, y si nos fijamos en la aplicación World of Hyatt, han invertido en proteger los datos de sus clientes allí», dijo Derek Hanson, vicepresidente de arquitectura de soluciones y alianzas de Yubico. .

En abril de este año, Hyatt agregó compatibilidad con Passkey a su aplicación World of Hyatt. Los registros fueron lentos al principio, pero el día que Google anunció la compatibilidad con las claves de acceso en las cuentas de Google, los registros de claves de acceso se dispararon. «Vimos un aumento en la creación de claves de acceso el día que Google lo anunció», dijo Hannah Hodak, gerente senior de productos de Hyatt. «Desde entonces, también hemos notado un aumento pequeño pero general en la creación de claves de acceso».