La tiranía de las contraseñas
Decía el maestro Sabina —compusiese o no colocao, el tipo es un genio— aquello de que Madrid es invivible, pero insustituible. Esa misma analogía se puede aplicar a las contraseñas, maldición de casi toda interacción tecnológica que requiera seguridad, pero por ahora única forma de solucionar un problema que lleva machacándonos décadas y décadas.
Uno podría pensar que con lo mucho que hemos avanzado podríamos haber solventado ya el tema —aquello de OpenID parecía una buena opción, por ejemplo—, pero no. Seguimos usando contraseñas para casi todo, aunque es cierto que los lectores de huella dactilar o los sistemas de reconocimiento facial nos han hecho ver una lucecita al final del túnel.
La biometría es desde hace mucho la gran esperanza de este campo. En realidad es una de los tres famosos factores de autenticación, a saber:
- Algo que tienes (un token)
- Algo que sabes (una contraseña)
- Algo que eres (tu huella, tu cara, tu iris)
Si combinas todas ellas, tienes la solución de seguridad ideal, pero claro, nosotros solemos centrarnos solo en la segunda pata (las contraseñas puras), o como mucho las combinamos con la primera o la tercera. Cosas como los gestores de contraseñas —yo uso KeePass desde hace un par de años y en general estoy contento— también ayudan a evitar el vicio de la reutilización, pero sigue habiendo problemas con este tema.
Esa es la razón de que lo que han anunciado hoy FIDO y la W3C mole tanto. Se trata del protocolo WebAuthn, orientado precisamente a poder usar la bendita biometría como sistema de autenticación en todo tipo de sitios web. Hasta ahora no había muchas más opciones que los de usar nombre de usuario y contraseña para acceder a todo tipo de servicios, pero con WebAuthn eso podría dejar de ser cierto.
Tenéis detalles técnicos en el documento de Mozilla y sobre todo en la especificación de la W3C (infumable para torpes como yo), pero como decían en Gizmodo la ventaja es doble:
En lugar de limitarse a una contraseña normal, la API también admite el uso de lectores de huellas dactilares, cámaras y llaves USB como método para iniciar sesión en su cuenta. De hecho, algunos casos de uso potencial hasta incluyen el uso del lector de huellas dactilares en el teléfono para iniciar sesión en un sitio web por la que estás navegando en tu equipo portátil o de escritorio, que puede no tener su propio sensor de huellas dactilares.
Eso mola. Estás en tu PC o portátil, te pide usuario y contraseña y, en lugar de meterla, pones el dedo en el smartphone que tienes en la mesa y listo, estás dentro. No es una idea nueva, pero la especificación la hace posible de forma global, abierta y gratuita. Cierto que los gestores de contraseñas y los propios navegadores autorellenan esos campos, pero ¿y si no queremos fiarnos de ellos? La opción de usar algo que somos (huella, cara) con algo que tenemos (un móvil) mola bastante, y es probable que uno pueda añadir además algo que solo él sabe, como una contraseña específica para ese servicio para esa hipotética autenticación en dos pasos.
No todos en la industria están en el barco: parece que Apple pasa y va a la suya una vez más, pero que el protocolo tenga el apoyo de Google, Mozilla, Opera o Microsoft Edge es bastante notable.
No sé, quizás este sea el principio de un bonito futuro en el que bastará con que miremos a la webcam del móvil o del PC o usemos nuestra huella dactilar para autenticarnos en cualquier servicio. Sé que ya se puede hacer algo así en según qué casos, pero estandarizarlo, universalizarlo y "empaquetarlo" para que cualquiera lo pueda hacer pero todos lo hagan de la misma forma mola. Mola mucho.
Quién sabe. Quizás la gran revolución de futuro no son los coches autónomos o la inteligencia artificial. Quizás la gran revolución sea no tener que volver a recordar o meter una maldita contraseña en toda tu vida. Ays.