39 nuevos métodos que comprometen la autenticación mediante clave de acceso

Las lla­ves de ac­ce­so o pass­keys se crea­ron para re­em­pla­zar las con­tra­se­ñas tra­di­cio­na­les me­dian­te crip­to­gra­fía de clave pú­bli­ca y pro­te­ger las cuen­tas em­pre­sa­ria­les. Sin em­bar­go, el pa­no­ra­ma de se­gu­ri­dad ha evo­lu­cio­na­do rá­pi­da­men­te y hoy exis­ten al menos trein­ta y nueve mé­to­dos pú­bli­cos, téc­ni­cas de in­ves­ti­ga­ción y es­ce­na­rios de ex­plo­ta­ción di­ri­gi­dos a la in­fra­es­truc­tu­ra que las rodea, sin que los de­lin­cuen­tes ne­ce­si­ten haber roto la crip­to­gra­fía FIDO2 ni ex­traer una llave pri­va­da.

Estas téc­ni­cas de­mues­tran que las ame­na­zas ac­tua­les ata­can múl­ti­ples capas del eco­sis­te­ma de con­fian­za, como el sis­te­ma ope­ra­ti­vo, los na­ve­ga­do­res, las apli­ca­cio­nes, los ad­mi­nis­tra­do­res de con­tra­se­ñas y los ser­vi­cios de sin­cro­ni­za­ción en la nube. Los ci­ber­de­lin­cuen­tes pue­den ma­ni­pu­lar pro­ce­sos le­gí­ti­mos de au­ten­ti­ca­ción a tra­vés de malwa­re, en­ga­ñar al usua­rio me­dian­te in­ter­fa­ces fal­sas o com­pro­me­ter los mé­to­dos de sin­cro­ni­za­ción y res­pal­do en la nube, lo que am­plía no­ta­ble­men­te la su­per­fi­cie de ries­go más allá del pro­to­co­lo crip­to­grá­fi­co.

Asi­mis­mo, los pro­ce­sos de ins­crip­ción y re­cu­pe­ra­ción re­pre­sen­tan vul­ne­ra­bi­li­da­des adi­cio­na­les cuan­do per­mi­ten re­gis­trar nue­vas lla­ves de ac­ce­so con­tro­la­das por ata­can­tes sin ne­ce­si­dad de robar las cre­den­cia­les ya exis­ten­tes. Ante esta reali­dad, el uso de hard­wa­re bio­mé­tri­co de­di­ca­do re­du­ce drás­ti­ca­men­te gran parte de esta su­per­fi­cie de ata­que, al im­pe­dir la sin­cro­ni­za­ción en la nube o la ins­ta­la­ción de apli­ca­cio­nes ma­li­cio­sas, siem­pre y cuan­do los ser­vi­cios que de­pen­den de estas tec­no­lo­gías se con­fi­gu­ren de ma­ne­ra co­rrec­ta para res­trin­gir y va­li­dar ade­cua­da­men­te los au­ten­ti­ca­do­res per­mi­ti­dos.