Passkeys Are Better Than Passwords. But They Are Not Enough.
Durante mucho tiempo, las contraseñas han representado una de las mayores vulnerabilidades en la ciberseguridad, ya que los usuarios suelen olvidarlas, reutilizarlas o entregarlas a sitios fraudulentos mediante engaños. Los atacantes aprovechan esto para robar credenciales, automatizar ataques y emplear inteligencia artificial para mejorar la ingeniería social. Para solucionar esta problemática, las llaves de acceso o *passkeys* ofrecen una alternativa basada en criptografía de clave pública que elimina el uso de secretos compartidos, evitando así el robo de credenciales y ofreciendo resistencia contra el fraude de tipo *phishing*.
A pesar de que este mecanismo de autenticación representa un avance significativo frente a las contraseñas y otros métodos tradicionales de autenticación multifactor, no resuelve por completo el problema del riesgo de identidad. Un sistema de autenticación infalible no puede compensar una cuenta creada de forma fraudulenta o comprometida antes de asociar la llave de acceso. Asimismo, surgen desafíos cuando los usuarios cambian de dispositivo debido a pérdidas o reemplazos, ya que los procesos alternativos de recuperación, como códigos por mensaje o enlaces de correo, pueden convertirse en el blanco de los atacantes para eludir la seguridad del sistema.
Los incidentes de seguridad relacionados con identidades no terminan en la pantalla de inicio de sesión, pues los atacantes pueden secuestrar sesiones ya autenticadas, comprometer dispositivos o realizar operaciones anómalas. Por esta razón, la detección de amenazas de identidad complementa a las llaves de acceso mediante la evaluación continua del riesgo a lo largo de todo el ciclo de vida de la cuenta, analizando el comportamiento, el contexto y las características de los dispositivos.