Scott Helme, experto en seguridad web, ha publicado un análisis para desmontar la reciente campaña de desconfianza hacia las passkeys, argumentando que la afirmación de que son una trampa es técnicamente incorrecta. El artículo responde a una publicación viral que sugería abandonar las passkeys por códigos TOTP, alegando que la función de atestación permitiría a los sitios web restringir el acceso a dispositivos específicos. Helme explica que las passkeys sincronizadas, almacenadas en gestores como iCloud o 1Password, no proporcionan atestación a los sitios web, por lo que esta restricción no existe actualmente. Además, detalla que la atestación, cuando está presente, solo identifica el fabricante y modelo del autenticador (a través de AAGUID) y no revela información sobre el sistema operativo, el firmware ni las extensiones instaladas. El autor señala que las passkeys son resistentes al phishing gracias a su vinculación por dominio, a diferencia de los códigos TOTP, que son vulnerables a ataques de intermediarios. Helme concluye que las passkeys siguen siendo la mejor opción de seguridad disponible y recomienda a los usuarios continuar su uso, advirtiendo que evitarlas las expone a riesgos mayores de robo de cuentas.
Noticias agregadas con IA