Si has activado las claves de acceso para tu cuenta de Google, probablemente hayas oído el argumento: no hay ninguna contraseña que escribir, nada que se pueda robar mediante phishing, nada almacenado en una base de datos esperando a filtrarse. Ese argumento es, en gran medida, cierto. Pero unos investigadores han descrito ahora una técnica —apodada «Pass-ta-key»— que demuestra que el malware presente en tu propio dispositivo todavía puede acceder a las claves de acceso almacenadas en el Gestor de contraseñas de Google. Conviene entender exactamente qué significa esto y qué no, porque la solución no es «dejar de usar claves de acceso».
Un breve repaso de cómo funcionan realmente las claves de acceso
Una clave de acceso es un par de claves, no un secreto que escribes. En teoría, la mitad privada nunca debe salir de tu dispositivo; el sitio o la aplicación solo ve la mitad pública y una firma que demuestra que tienes la clave privada. Eso es lo que hace que las claves de acceso sean resistentes al phishing clásico: no hay ninguna contraseña ni código de un solo uso que una página de inicio de sesión falsa pueda robar, porque la clave privada no es algo que puedan engañarte para que escribas en ningún sitio.
El matiz está en la palabra «sincronizadas». Para que una clave de acceso funcione en tu teléfono, portátil y tableta, el Gestor de contraseñas de Google cifra y sincroniza tus claves de acceso a través de tu cuenta de Google, en lugar de vincular cada una a un único dispositivo físico. Esa comodidad también ofrece una superficie de ataque mayor que una clave de acceso vinculada físicamente a una sola llave de seguridad o a un solo dispositivo.
A qué apunta realmente la investigación sobre Pass-ta-key
Según las informaciones publicadas sobre esta investigación (a través de Malwarebytes), el hallazgo es que el malware que se ejecuta en un dispositivo donde el Gestor de contraseñas de Google está desbloqueado puede secuestrar cuentas protegidas por claves de acceso —no vulnerando la criptografía de clave pública subyacente, sino abusando de la capa de software que almacena, desbloquea y sincroniza las claves—. En otras palabras: las matemáticas en las que se basan las claves de acceso no han sido vulneradas. Lo que se está atacando es todo lo que está alrededor de las matemáticas: el almacén local, el proceso de desbloqueo y el canal de sincronización.
Los detalles técnicos precisos de la cadena de explotación no se han explicado por completo en lo que se ha hecho público hasta ahora, así que conviene tener cuidado para no exagerarlo diciendo que «las claves de acceso están rotas». Lo que está claro, y es coherente con el funcionamiento habitual de este tipo de ataques, es la forma general del riesgo: si el malware alcanza un nivel de acceso suficientemente alto en un dispositivo que tiene un almacén de claves de acceso desbloqueado, potencialmente puede actuar como tú dentro de ese almacén o exportar material que permita a un atacante autenticarse como tú en otro lugar.
Por qué esto no invalida el argumento a favor de las claves de acceso
Es tentador interpretar un titular así como «las claves de acceso han fallado». No lo han hecho: cerraron el paso a un ataque específico y extremadamente común: el phishing remoto, en el que un atacante desde cualquier parte del mundo te engaña para que escribas una contraseña o un código de un solo uso en un sitio falso. Ese ataque sigue sin funcionar contra una clave de acceso real. Lo que ilustra Pass-ta-key es un modelo de amenaza distinto y más antiguo: un atacante que ya tiene código ejecutándose en tu dispositivo. Esa amenaza siempre ha existido y, posiblemente, era peor para las contraseñas: un registrador de pulsaciones o un ladrón de información en una máquina infectada podía capturar con la misma facilidad una contraseña escrita y una cookie de sesión. Las claves de acceso reducen la superficie de ataque; no eliminan la categoría «tu dispositivo está comprometido».
Qué debes comprobar y hacer realmente
Algunos pasos concretos y comprobables, aproximadamente en orden de impacto:
- Averigua cuáles de tus claves de acceso están sincronizadas y cuáles están vinculadas al dispositivo. En el Gestor de contraseñas de Google (passwords.google.com, en «Claves de acceso»), puedes ver qué está almacenado y sincronizado con tu cuenta. Una clave de acceso creada y confirmada con una llave de seguridad física (como una YubiKey) que no hayas sincronizado está vinculada a ese dispositivo físico y no queda expuesta a esta clase de ataque de la misma manera.
- Para tus cuentas de mayor valor —correo electrónico principal, banco, inicio de sesión único del trabajo—, da preferencia a una llave de seguridad física frente a una clave de acceso sincronizada. Es algo menos cómodo (necesitas la llave física), pero no entra en contacto con la sincronización en la nube en ningún momento, lo que elimina toda esta superficie de ataque para esa cuenta.
- Mantén limpio el propio dispositivo, ya que ese es ahora el verdadero campo de batalla. Instala cuanto antes las actualizaciones del sistema operativo y del navegador, evita instalar aplicaciones o extensiones de fuentes ajenas a las tiendas oficiales y no ignores las alertas del antivirus o del sistema de protección de endpoints: una infección de malware es la condición previa para este tipo de ataque, así que una buena higiene del dispositivo cumple una doble función.
- Activa el Programa de Protección Avanzada de Google si eres un objetivo plausible (periodistas, activistas, ejecutivos, administradores o cualquier persona que haya sido objetivo anteriormente). Este programa refuerza las reglas de recuperación de cuentas y de inicio de sesión específicamente contra este tipo de escenario de toma de control de cuentas.
- Revisa periódicamente la «Actividad de seguridad reciente» de tu cuenta de Google y los dispositivos conectados, y elimina todo lo que no reconozcas o ya no utilices, incluidas las claves de acceso sincronizadas antiguas que permanezcan en dispositivos que hayas reemplazado.
- No prescindas de tu método de autenticación de respaldo. Conserva un método de recuperación (códigos de respaldo, una segunda clave de acceso en otro tipo de dispositivo) que no dependa del mismo dispositivo, para que no te quedes fuera si tienes que borrar por completo una máquina infectada.
La versión resumida: las claves de acceso siguen siendo mejores que las contraseñas, y «imposibles de suplantar mediante phishing» sigue siendo una descripción precisa de lo que hacen frente al phishing remoto. Pass-ta-key recuerda que «imposible de suplantar mediante phishing» nunca significó lo mismo que «inmune a un dispositivo comprometido»; y tu defensa contra lo segundo consiste en lo aburrido: actualiza tus dispositivos, estate atento al malware y protege tus cuentas más importantes con llaves vinculadas al hardware en lugar de claves sincronizadas.
