Passkeys vs contraseñas: ¿Cuál resiste el hackeo de un servidor?

Cada pocos meses, la historia se repite: una gran plataforma sufre un ciberataque masivo y millones de credenciales terminan a la venta en foros de la dark web. Durante décadas, este escenario ha sido el mayor quebradero de cabeza para la seguridad digital. Sin embargo, la industria tecnológica ha comenzado una transición acelerada hacia un nuevo estándar de autenticación. Al comparar passkeys vs contraseñas frente al peor escenario posible —la intrusión total en un servidor—, la diferencia entre ambos sistemas no es meramente incremental, sino un cambio absoluto de paradigma que inutiliza los robos de datos.

El problema de la contraseña tradicional en el servidor

Cuando utilizas una clave convencional, el servidor necesita verificar que la conoces. Aunque las empresas serias no almacenan el texto plano, guardan una representación matemática denominada hash, a menudo acompañada de un fragmento aleatorio llamado salt. El problema reside en que, si un atacante obtiene una copia de la base de datos, tiene todo el tiempo del mundo para descifrarla de forma local.

Mediante el uso de tarjetas gráficas de alta potencia y diccionarios de claves comunes, los ciberdelincuentes pueden adivinar millones de combinaciones por segundo. Además, como la mayoría de los usuarios reutiliza claves entre diferentes servicios, una sola filtración pone en riesgo múltiples identidades digitales.

En el modelo tradicional, basta con que el servidor caiga para que la seguridad de todos sus usuarios quede seriamente comprometida.

Arquitectura de una passkey: Criptografía asimétrica al rescate

El estándar de las claves de acceso funciona bajo una lógica radicalmente opuesta. Basado en la tecnología FIDO2 y WebAuthn, este sistema reemplaza el secreto compartido por un par de claves criptográficas únicas generadas directamente en tu dispositivo (móvil, ordenador o gestor de claves).

• La clave pública: Se envía al servidor del servicio y se guarda en su base de datos. Es pública, por lo que no importa quién la vea.
• La clave privada: Nunca abandona tu dispositivo. Está protegida por tu biometría (Face ID, huella dactilar) o el PIN local.

Para iniciar sesión, el servidor te envía un desafío matemático aleatorio. Tu dispositivo lo firma internamente usando la clave privada y devuelve el resultado. El servidor valida la firma con la clave pública almacenada. En ningún momento se transmite la clave ni el servidor llega a conocerla.

Filtración masiva: ¿Qué obtiene realmente el hacker?

Imagine que un grupo de ciberdelincuentes logra comprometer los servidores centrales de una gran plataforma. La comparativa de seguridad en el debate passkeys vs contraseñas muestra dos escenarios opuestos ante este incidente de ciberseguridad:

Escenario A: La base de datos de contraseñas cae

El atacante descarga millones de hashes. A partir de ese momento, comienza el proceso automatizado de fuerza bruta. En pocos días o semanas, miles de cuentas quedan expuestas y listas para ser asaltadas en otras plataformas mediante ataques de relleno de credenciales.

Escenario B: La base de datos de passkeys cae

El intruso obtiene un listado masivo de claves públicas y desafíos criptográficos pasados. Dado que la clave pública solo sirve para verificar firmas y no para generarlas, la información sustraída es completamente inútil. No se pueden deducir claves privadas a partir de las públicas ni reusar esos datos para acceder a la cuenta.

Ante un ataque exitoso al servidor, un botín lleno de passkeys no tiene ningún valor en el mercado negro.

El fin del phishing y del eslabón débil humano

Más allá del asalto a bases de datos, las llaves de acceso eliminan el factor del error humano frente al phishing. Dado que cada par de claves está vinculado criptográficamente al dominio web específico (por ejemplo, midominio.com), un sitio web falso que suplante la identidad (como midominio-fake.com) no podrá solicitar la firma criptográfica. El navegador detectará la discrepancia de origen y rechazará el intento de inicio de sesión automáticamente.

A medida que los servicios web adopten masivamente este estándar, los robos masivos de credenciales dejarán de copar las portadas de noticias de ciberseguridad, transformando la infraestructura global de autenticación en un entorno incomparablemente más seguro.

¿Has comenzado a configurar passkeys en tus cuentas principales o sigues dependiendo de las contraseñas tradicionales y un gestor? Cuéntanos tu experiencia en los comentarios.