Si activaste las claves de acceso en tu cuenta de Google, probablemente hayas escuchado la propuesta: no hay contraseña que escribir, nada que se pueda robar mediante phishing ni nada almacenado en una base de datos esperando filtrarse. En gran medida, esa propuesta es cierta. Pero ahora investigadores describieron una técnica —apodada «Pass-ta-key»— que demuestra que el malware en tu propio dispositivo aún puede acceder a las claves de acceso almacenadas en el Administrador de contraseñas de Google. Vale la pena entender exactamente qué significa y qué no, porque la solución no es «dejar de usar claves de acceso».
Un rápido repaso de cómo funcionan realmente las claves de acceso
Una clave de acceso es un par de claves, no un secreto que escribes. Se supone que la mitad privada nunca debe salir de tu dispositivo; el sitio o la aplicación solo ve la mitad pública y una firma que demuestra que tienes la clave privada. Eso es lo que hace que las claves de acceso sean resistentes al phishing clásico: no hay una contraseña ni un código de un solo uso que una página de inicio de sesión falsa pueda robar, porque la clave privada no es algo que puedan engañarte para que escribas en ningún sitio.
El detalle está en la palabra «sincronizadas». Para permitir que una clave de acceso funcione en tu teléfono, laptop y tableta, el Administrador de contraseñas de Google cifra y sincroniza tus claves de acceso mediante tu cuenta de Google, en lugar de vincular cada una a un solo dispositivo físico. Esa comodidad también representa una superficie de ataque mayor que la de una clave de acceso vinculada físicamente a una sola llave de seguridad o a un solo dispositivo.
A qué apunta realmente la investigación sobre Pass-ta-key
Según los informes sobre esta investigación (a través de Malwarebytes), el hallazgo es que el malware que se ejecuta en un dispositivo donde el Administrador de contraseñas de Google está desbloqueado puede secuestrar cuentas protegidas con claves de acceso, no al romper la criptografía de clave pública subyacente, sino al abusar de la capa de software que almacena, desbloquea y sincroniza las claves. En otras palabras: no han descifrado las matemáticas detrás de las claves de acceso. Lo que está siendo atacado es todo lo que está alrededor de las matemáticas: la bóveda local, el proceso de desbloqueo y el canal de sincronización.
Los mecanismos técnicos precisos de la cadena de explotación no se detallaron por completo en lo que se ha hecho público hasta ahora, así que conviene tener cuidado de no exagerar esto hasta afirmar que «las claves de acceso están rotas». Lo que está claro, y es coherente con la forma en que suelen funcionar estas cosas, es la forma general del riesgo: si el malware obtiene un nivel de acceso suficientemente alto en un dispositivo que tiene un almacén de claves de acceso desbloqueado, potencialmente puede actuar como tú dentro de ese almacén o exportar material que permita a un atacante autenticarse como tú en otro lugar.
Por qué esto no invalida el argumento a favor de las claves de acceso
Es tentador leer un titular como este y pensar que «las claves de acceso fallaron». No fue así: bloquearon un ataque específico y extremadamente común: el phishing remoto, en el que un atacante desde cualquier parte del mundo te engaña para que escribas una contraseña o un código de un solo uso en un sitio falso. Ese ataque sigue sin funcionar contra una clave de acceso real. Lo que Pass-ta-key ilustra es un modelo de amenaza diferente y más antiguo: un atacante que ya tiene código ejecutándose en tu dispositivo. Esa amenaza siempre ha existido y, posiblemente, era peor para las contraseñas: un registrador de teclas o un ladrón de información en una máquina infectada podía robar una contraseña escrita y una cookie de sesión con la misma facilidad. Las claves de acceso reducen la superficie de ataque; no eliminan la categoría de «tu dispositivo está comprometido».
Qué revisar y hacer realmente
Algunos pasos concretos y comprobables, aproximadamente en orden de impacto:
- Identifica cuáles de tus claves de acceso están sincronizadas y cuáles están vinculadas al dispositivo. En el Administrador de contraseñas de Google (passwords.google.com, en «Claves de acceso»), puedes ver qué está almacenado y sincronizado con tu cuenta. Una clave de acceso creada y confirmada con una llave de seguridad física (como una YubiKey) que no sincronizaste está vinculada a ese hardware y no está expuesta a esta clase de ataque de la misma manera.
- Para tus cuentas de mayor valor —correo electrónico principal, banco, inicio de sesión único del trabajo— prefiere una llave de seguridad de hardware en lugar de una clave de acceso sincronizada. Es un poco menos conveniente (necesitas la llave física), pero nunca entra en contacto con la sincronización en la nube, lo que elimina por completo esta superficie de ataque para esa cuenta.
- Mantén limpio el dispositivo, ya que ahora ese es el verdadero campo de batalla. Instala rápidamente las actualizaciones del sistema operativo y del navegador, evita instalar aplicaciones o extensiones de fuentes ajenas a las tiendas oficiales y no ignores las alertas del antivirus o del sistema de protección de endpoints: una infección de malware es la condición previa para este tipo de ataque, así que la higiene del dispositivo cumple una doble función.
- Activa el Programa de Protección Avanzada de Google si eres un objetivo probable (periodistas, activistas, ejecutivos, administradores o cualquier persona que haya sido atacada antes). Este programa refuerza específicamente las reglas de recuperación de cuentas y de inicio de sesión contra este tipo de escenario de toma de control de cuentas.
- Revisa periódicamente la «Actividad de seguridad reciente» de tu cuenta de Google y los dispositivos conectados, y elimina todo lo que no reconozcas o ya no uses, incluidas las claves de acceso sincronizadas antiguas que permanezcan en dispositivos que ya reemplazaste.
- No abandones tu método de autenticación de respaldo. Conserva un método de recuperación (códigos de respaldo o una segunda clave de acceso en otro tipo de dispositivo) que no dependa del mismo dispositivo, para que no te quedes sin acceso si tienes que borrar por completo una máquina infectada.
En resumen: las claves de acceso siguen siendo mejores que las contraseñas, y «imposibles de usar para phishing» sigue siendo una descripción precisa de lo que hacen contra el phishing remoto. Pass-ta-key recuerda que «imposibles de usar para phishing» nunca fue lo mismo que «inmunes a un dispositivo comprometido», y tu defensa contra lo segundo es lo aburrido: aplica parches a tus dispositivos, mantente atento al malware y protege tus cuentas más importantes con llaves vinculadas al hardware en lugar de claves sincronizadas.
