Un análisis reciente advierte sobre un riesgo potencial en la implementación de passkeys: la 'atestación' (verificación de seguridad del dispositivo). Aunque las passkeys son una mejora significativa frente a las contraseñas tradicionales, el autor señala que la atestación, diseñada originalmente para entornos corporativos de alta seguridad, podría ser utilizada por grandes plataformas para restringir gradualmente el control del usuario sobre sus credenciales. El argumento central es que, aunque la atestación no es obligatoria actualmente en la mayoría de los sitios web, su inclusión en el estándar FIDO Alliance podría permitir a las plataformas exigir su uso de forma progresiva, eliminando la capacidad del usuario para elegir su nivel de seguridad sin su conocimiento. El texto critica la posible estrategia de 'bait and switch', donde las plataformas podrían aceptar passkeys no atestadas inicialmente y luego rechazarlas una vez que la mayoría de los usuarios haya adoptado el estándar, lo que congelaría a los gestores de credenciales independientes. Se destaca que Apple y otros grandes proveedores aún no soportan la atestación en sus implementaciones de consumo, y que la industria ha rechazado esta medida para evitar bloquear a los usuarios. El autor concluye que, aunque la atestación podría ser un problema futuro, la adopción masiva de passkeys sin ella es la única defensa real contra el phishing, y que las plataformas no tienen interés en bloquear a sus usuarios actuales.
Noticias agregadas con IA