PassKeys: gracias, pero no, gracias… aún

Las PassKeys ya están aquí. ¿Qué son? Bueno, vamos a resumirlo un poco: su intención es que nos olvidemos de las contraseñas, que podamos entrar a cualquier servicio a partir datos biométricos y dispositivos vinculados, por lo que nunca podremos olvidar una contraseña ni nos la podrán robar porque, sencillamente, empieza en nosotros y no existen como tal. Ya están disponibles en iOS 16 y pronto lo estarán en Android 14, del que ya se ha lanzado la beta pública, y ahora le toca a los servicios dar un paso al frente y empezar a implementarlas.

Nos guste o no, las PassKeys son el futuro. Con Apple, Google y Microsoft detrás, se ha iniciado un camino que no tiene vuelta atrás. Pero es eso, el futuro, para nada el presente. Y, como es tristemente habitual, menos lo es para los usuarios de Linux. Tal y como explica Google, para poder crear una PassKey y acceder con ella a un servicio es necesario un ordenador con Windows 10 o macOS Ventura, un móvil con iOS 16 o Android 9 o una llave de seguridad en forma de hardware que soporte el protocolo FIDO2.

Navegadores compatibles con PassKeys

Además, el equipo tiene que tener instalado un navegador compatible, y Google dice que son Chrome 109 o superior, Safari 16 o superior y Edge 109 o superior. En cuanto a los basados en Chromium, no lo dice, pero me atrevería a decir que lo son todos desde la v109. No se menciona Firefox, pero sí en la página web oficial passkeys.dev, aunque el soporte no es completo.

Y para los usuarios de Linux, ahora mismo sólo se menciona Ubuntu y a través de Edge o Chrome, para lo que también hace falta tener el equipo conectado a una llave compatible (más información). Con respecto a esto, los usuarios de Linux sabéis perfectamente que en cualquier parte en la que se refieran a Linux suele aparecer el nombre de Ubuntu, como si éste fuera el único sistema operativo basado en el kernel de Torvalds. Lo que se puede con una distro suele poderse con otra, pero merece la pena ir con pies de plomo.

Luces y sombras en 2023, menos sombras en unos años

Teniendo menos de un año de vida, y además con tan pocos servicios que lo usen, mi recomendación ahora mismo es que nos olvidemos durante un tiempo de estas PassKeys. ¿Por qué? Sencillo, hay que pensar en qué podría pasar: si sólo tenemos un teléfono compatible, creamos una PassKey y lo perdemos, bye bye cuenta de lo que sea. Si usamos Linux, como la mayoría de nuestros lectores, tenemos que depender de la llave, y si la perdemos… cero patatero; cuenta inaccesible.

¿Cuándo serán la mejor opción? En un futuro en el que tengamos varios dispositivos compatibles. No uno, ni dos; prácticamente todos. O todos, directamente, para ahorrarnos tener que hacer alguna peripecia.

Qué puede pasar

Por ejemplo, ahora mismo tengo aquí cerca el portátil en el que escribo este artículo, una tablet, un móvil y otro portátil más viejo. Ninguno de los portátiles puede crear PassKeys, y debería confiar en el móvil y la tablet o la llave. A mí, que me gusta ir sobre seguro, dos aparatos compatibles no me parecen suficientes. De hecho, cuando tenemos documentos importantes, se dice que hay que tener una copia de ellos en al menos tres aparatos/discos/unidades. Además, sin la llave no puedo entrar a nada desde los portátiles.

Supongamos que, en el mismo ejemplo, mi portátil tiene un lector facial o de huellas dactilares o tengo una llave que soporta FIDO2 y ya es compatible con las PassKeys. En ese caso, con tres de cuatro, y ante la baja probabilidad de que se me rompan o pierda los tres aparatos, ya puede ser una buena idea. Claro está, dejando de lado el debate que a alguno le puede pasar por la cabeza de que no es bueno que controlen tanto nuestros datos biométricos, un debate que lleva en la palestra desde hace ya casi 10 años, cuando Apple popularizó los lectores de huellas en el iPhone 5s

Y cuidado con compartir un dispositivo vinculado a las PassKeys

Otro punto a tener en cuenta es que, del mismo modo en el que alguien con nuestro PIN puede ver nuestras conversaciones de WhatsApp, esa persona también podría acceder a cualquier servicio en el que estemos registrados, ya que la PassKey se guarda en el dispositivo. Para mí no sería un problema porque mis aparatos los toco yo y sólo yo, pero sí puede causar dolores de cabeza a los que suelen compartir.

Google dice:

Importante: Al crear una clave de acceso, usted acepta una experiencia de inicio de sesión sin contraseña. Crea claves de acceso solo en los dispositivos personales que controles. Aunque salgas de tu cuenta de Google, una vez que hayas creado una clave de acceso en un dispositivo, cualquier persona que pueda desbloquear el dispositivo podrá volver a acceder a tu cuenta de Google con la clave de acceso.

Probablemente todo esto mejorará aún más en el futuro, pero es que ahora estamos ante la noticia de que ha empezado a estar disponible, nada más. Yo creo que le hacen falta al menos 5 años para estandarizarse, y de momento sólo pienso que no sé qué pensar. O sí: gracias, pero no, gracias… aún.