La autenticación basada en contraseñas compartidas —incluso reforzada con mecanismos convencionales de segundo factor (MFA) como códigos SMS o notificaciones push— representa la mayor vulnerabilidad de la seguridad corporativa moderna. Más del 80% de las brechas de datos empresariales tienen su origen en el robo de credenciales mediante ataques de fuerza bruta, credential stuffing o campañas de phishing con proxies inversos. La industria de la ciberseguridad, liderada por la FIDO Alliance y el consorcio W3C bajo el estándar WebAuthn/FIDO2, ha establecido un consenso absoluto: el futuro de la identidad digital es estrictamente sin contraseñas (passwordless) e invulnerable al phishing mediante Passkeys respaldadas por enclaves criptográficos seguros de hardware. Las organizaciones operan bajo una falsa sensación de protección al utilizar códigos SMS o aplicaciones de autenticación TOTP de 6 dígitos. En la práctica, los SMS son vulnerables al SIM Swapping y a la interceptación de señalización SS7, mientras que los códigos TOTP y las notificaciones push sucumben al bombardeo de peticiones (MFA Fatigue) y a proxies inversos como Evilginx2, que secuestran la cookie de sesión autenticada en tiempo real.
El Estándar FIDO2/WebAuthn y Criptografía Asimétrica en Hardware
Las Passkeys funcionan bajo los protocolos WebAuthn y CTAP2, reemplazando las contraseñas estáticas por pares de claves criptográficas asimétricas:
- Generación en Enclaves Seguros de Hardware (TPM / Secure Enclave): El par de claves asimétricas (ECDSA sobre curva NIST P-256 o Ed25519) se genera dentro del hardware del dispositivo (Apple Secure Enclave, Android StrongBox o TPM 2.0), garantizando que la clave privada nunca abandone el chip físico.
- Vinculación Criptográfica de Origen (Origin Binding): El navegador vincula criptográficamente el dominio TLS de la pestaña activa (Relying Party ID) al payload firmado por la clave privada, imposibilitando que la firma sea aceptada en dominios de phishing.
- Passkeys Sincronizadas vs. Llaves FIDO2 Físicas de Hardware: Distinción arquitectónica entre Passkeys sincronizadas mediante nubes cifradas de extremo a extremo (Apple Keychain / Google Password Manager) para usuarios generales, y llaves de hardware físicas (YubiKey FIPS) para operadores críticos.
El protocolo WebAuthn elimina por completo el almacenamiento de secretos compartidos en el servidor. Durante el registro (navigator.credentials.create), el servidor genera un desafío criptográfico aleatorio. El navegador instruye al autenticador de hardware para crear un par de claves asociado al 'rp.id' (ej: 'app.better2better.com'). Tras la validación biométrica local (Touch ID / Face ID) o PIN, el chip firma el desafío. El servidor almacena únicamente la clave pública. En accesos posteriores (navigator.credentials.get), el servidor emite un nuevo desafío; el autenticador verifica que el dominio de la petición coincide con el registrado y firma el desafío con su clave privada. El servidor valida la firma con la clave pública previamente registrada, sin enviar jamás contraseñas a través de la red.
Inmunidad Matemática Frente a Proxies Adversary-in-the-Middle (AiTM)
La principal fortaleza de FIDO2 radica en desactivar por completo las tácticas de phishing mediante validaciones criptográficas deterministas:
- Neutralización de Proxies Inversos en Vivo (Evilginx2): Dado que el navegador genera el 'clientDataJSON' basándose en el dominio real de la barra de direcciones, el autenticador firma la URL del proxy fraudulento. El servidor legítimo rechaza la firma de inmediato al detectar la discrepancia de RP ID.
- Inmunidad a Brechas de Servidor y Credential Stuffing: Dado que la base de datos de la empresa solo contiene claves públicas inútiles sin la clave privada del hardware, la filtración de la base de datos no expone a los usuarios a riesgos de suplantación.
- Atestación de Autenticador y Gobernanza FIDO Metadata Service (MDS): Uso de FIDO MDS para exigir de forma criptográfica que el acceso a entornos críticos se realice exclusivamente mediante dispositivos certificados FIPS 140-2 Nivel 2 o superior.
- Eliminación de la Ingeniería Social en el Servicio de Soporte: Desmantelamiento definitivo de los procesos de recuperación de contraseñas vía soporte técnico, responsables de más del 30% de los incidentes de secuestro de cuentas corporativas.
En un ataque AiTM con Evilginx2 contra autenticación convencional con TOTP, el atacante despliega 'login-better2better.com' y retransmite en vivo el portal de acceso. Cuando la víctima introduce su contraseña y código de 6 dígitos, el proxy intercepta la sesión y captura la cookie autenticada. Con WebAuthn, cuando se solicita la firma, el navegador inserta 'login-better2better.com' en el payload del cliente. El chip FIDO2 del dispositivo firma dicho origen. Al remitir la firma al servidor auténtico de Better2Better, este comprueba que el RP ID esperado era 'better2better.com', detectando la suplantación y abortando la autenticación.
Matriz Estratégica: Mecanismos de Autenticación Multifactor Corporativos
| Mecanismo de Autenticación | Resistencia a Phishing (AiTM) | Resistencia a SIM Swap y Fatiga | Experiencia de Usuario (UX) |
|---|---|---|---|
| Contraseñas + SMS OTP | Nula: la víctima entrega el código sin advertirlo | Nula: vulnerable a SIM swap e interceptación SS7 | Baja: fricción constante y dependencia de red móvil |
| Apps de Autenticación (TOTP) | Nula: códigos de 6 dígitos capturados por proxy | Alta contra SIM swap, nula contra proxies inversos | Media: transcripción manual de números temporales |
| Notificaciones Push | Baja: susceptible a fatiga de aprobaciones (MFA Bombing) | Media: riesgo de pulsaciones accidentales sin contexto | Buena: un solo toque, pero vulnerable a ingeniería social |
| Passkeys / Hardware FIDO2 | Absoluta: matemáticamente inmune a proxies | Absoluta: sin códigos, sin fatiga y anclada al hardware | Excelente: validación biométrica instantánea y cero claves |
Plan de Transición Passwordless, Despliegue y Adopción Corporativa
La sustitución integral de contraseñas por Passkeys requiere una metodología estructurada que armonice máxima seguridad con continuidad operativa:
- Redundancia de Dispositivos y Registro de Respaldo: Habilitar el registro de al menos dos autenticadores independientes (ej: portátil corporativo y teléfono móvil) para evitar bloqueos por extravío del hardware principal.
- Integración con Proveedores de Identidad Empresariales (IdPs): Configuración de políticas de acceso condicional en Okta, Microsoft Entra ID o PingIdentity que impongan credenciales FIDO2 para los niveles de administración.
- Métricas de Adopción y Desmantelamiento de Métodos Obsoletos: Supervisión continua del porcentaje de accesos passwordless con el objetivo de desactivar por completo SMS y contraseñas en los 90 días posteriores al despliegue.
La adopción de Passkeys corporativas se inicia en los roles más expuestos (administradores de nube, ingenieros con acceso a repositorios productivos y directores financieros). Para ellos, la entrega de llaves físicas FIDO2 con atestación validada es obligatoria. Para el resto de los colaboradores, el despliegue de Passkeys sincronizadas mediante enclaves empresariales ofrece una experiencia de acceso instantánea, reduciendo los tickets de soporte por contraseñas en más de un 70% desde el primer mes. Better2Better diseña e implanta arquitecturas WebAuthn/FIDO2 completas para plataformas empresariales.
Elimine las Contraseñas Definitivamente e Implemente Passkeys FIDO2
Better2Better implanta flujos de autenticación passwordless inmunes al phishing con WebAuthn, Passkeys e integración directa con los principales proveedores de identidad.
Modernizar Identidad Corporativa