Las Passkeys (Llaves de paso) | Servicio de Informática

¿Qué es una Passkey (llave de acceso/llave de paso)?

Un passkey, que en español en ocasiones se traduce como llave de paso o llave de acceso, es un mecanismo moderno de autenticación digital diseñado para reemplazar a las contraseñas tradicionales. Sus características principales son:

Funcionamiento criptográfico: Se basa en un par de claves criptográficas: una clave pública que se almacena en el servidor del servicio al que quieres acceder, y una clave privada que se guarda de forma segura y exclusiva en tu dispositivo personal (y que nunca viaja al servidor).
Autenticación biométrica o PIN: Para demostrar que eres tú quien usa la clave privada, el sistema te pedirá un gesto local en tu dispositivo, como tu huella dactilar, reconocimiento facial o un PIN de bloqueo de pantalla.
Más robusto frente al phishing: Al estar ligadas al dominio exacto del sitio web o aplicación, las passkeys hacen más difícil suplantar ni robar mediante páginas web falsas o ataques de phishing. Además hay riesgo de filtraciones masivas de contraseñas, ya que los servidores no almacenan secretos que puedan ser robados.

Las empresas tecnológicas están fomentando el registro y uso de passkeys en su objetivo de eliminar el uso de contraseñas.

Un passkey no es "una contraseña". Una misma persona puede tener varios passkeys para acceder a su cuenta dependiendo de los dispositivos que tenga configurados para usar passkey.

¿Cómo se usa un Passkey en la UC?

En la UC es posible utilizar passkeys en los servicios cloud (Correo, OneDrive, Teams, ..) o servicios con validación integrada (Porticada, UNICAN Labs, ..) aprovechando la aplicación Microsoft Authenticator, que normalmente se tiene instalada en un dispositivo móvil (iOS o Android) para el MFA o bien mediante Windows Hello (en ordenadores compatibles con Windows Hello).

Si tenemos un passkey en el Authenticator en el móvil podemos usarlo para identificarnos en un servicio desde el propio móvil o desde un ordenador. Esto último únicamente si el ordenador y el móvil tienen activado el Bluetooth y conexión a Internet, y siguiendo el procedimiento descrito más adelante.

Si tenemos un passkey en el ordenador mediante Windows Hello podemos usarlo para identificarnos desde el ordenador.

El uso de passkeys en la UC es opcional, pero hay que tener en cuenta que nuestro proveedor de servicios cloud , Microsoft, lo está fomentando y en el futuro es muy posible que sea el método habitual para identificarse.

Tenga en cuenta que un passkey es único para cada dispositivo. Por tanto, es normal que una persona tenga registrados varios passkeys para acceder a su cuenta, por ejemplo en un móvil y en un portátil.

¿Cómo se registra y configura un Passkey?

Un passkey se registra en cada dispositivo en donde queramos usarlo:

A. En un móvil con la app Authenticator (caso más habitual):

Adición de la cuenta: El usuario descarga la aplicación Microsoft Authenticator en su teléfono móvil y añade su cuenta de Microsoft (completando una autenticación multifactor o MFA previa). La mayoría de los usuarios de la UC ya han hecho esto para usar Authenticator para el MFA.
Creación de la Passkey: Dentro de la aplicación , se selecciona la opción de añadir un nuevo método de inicio de sesión utilizando una clave de paso/llave de aeceso (passkey) en Microsoft Authenticator. Se siguen las intrucciones paso a paso que nos indica la app.
Habilitación como proveedor: Se configura el teléfono móvil para permitir que Microsoft Authenticator actúe como proveedor predeterminado de claves de acceso (en la configuración de autocompletar y contraseñas del sistema operativo móvil, como iOS o Android.

B. En un ordenador con Windows Hello:

Antes de nada es necesario que tener Windows Hello activo en el PC. Windows Hello es una tecnología que nos permite iniciar sesión mediante un PIN o mediante biometría (huella dactilar/reconocimiento facial)

Fase 1: Activar el PIN de Windows Hello en el PC

Antes de vincularlo a su cuenta de la UC, el ordenador debe tener configurado Windows Hello.

Pulse la tecla Windows + I para abrir la Configuración de Windows.
En el menú lateral izquierdo, haga clic en Cuentas.
Seleccione Opciones de inicio de sesión.
Haga clic en PIN (Windows Hello) (o en reconocimiento facial/huella si su equipo tiene sensor).
Pulse en Configurar (o Cambiar si ya tiene uno), introduzca su contraseña actual de Windows y elija un PIN numérico que recuerde.

Fase 2: Registrar Windows Hello como Passkey en tu cuenta

Una vez creado el PIN en el PC, debe indicar que lo use para iniciar sesión:

Abra el navegador y entre en: myaccount.microsoft.com
Inicie sesión con su método habitual
En el panel principal, busque la sección Información de seguridad y pulse en Actualizar información (o Administrar cómo inicio sesión).Haga clic en el botón con el símbolo más: + Agregar método de inicio de sesión.
En el menú desplegable, seleccione Clave de paso (passkey) o Llave de seguridad y pulse Agregar.
Elija la opción Windows Hello o dispositivo externo (o Este dispositivo).
Aparecerá una ventana emergente de Windows sobre la pantalla pidiéndole confirmación. Introduza el PIN de Windows Hello que creó en la Fase 1 (o identificándose por biometría).
Ponga un nombre descriptivo para identificarlo (por ejemplo, PC Sobremesa Despacho) y pulse Siguiente / Hecho.

¿Cómo iniciar sesión con passkey?

Existen tres posibles escenarios:

A. Si tenemos un passkey en la app Authenticator e intentamos iniciar sesión desde el propio móvil:

Cuando el usuario intenta iniciar sesión en un servicio cloud de la UC (o una aplicación compatible), solo necesita introducir su nombre de usuario de la forma habitual (usuario@unican.es, usuario@gestion.unican.es o usuario@alumnos.unican.es).
El sistema le solicitará automáticamente el uso del passkey almacenado en el Authenticator.
El usuario valida la identidad mediante su huella dactilar, rostro o PIN en el teléfono móvil, completando el acceso de forma instantánea, segura y sin necesidad de recordar claves complejas.

B. Si tenemos un paskey en la app Authenticator e intentamos iniciar sesión desde un ordenador:

Este proceso se llama inicio de sesión multidispositivo (cross-platform o hybrid flow) y requiere que tanto el móvil como el ordenador tenga Bluetooth activado. Esto es así para asegurar que se encuentran físicamente juntos. No es necesario emparejarlos.

El proceso es el siguiente:

Cuando el usuario intenta iniciar sesión en un servicio cloud de la UC (o una aplicación compatible) desde el navegador del ordenador, solo necesita introducir su nombre de usuario de la forma habitual (usuario@unican.es, usuario@gestion.unican.es o usuario@alumnos.unican.es)
Cuando el sistema le pida la credencial, seleccione la opción de utilizar una llave de acceso (passkey) o clave de seguridad (o bien pulse en "Otras opciones de inicio de sesión" si el navegador no la detecta automáticamente).
Debes tener el Bluetooth activado en el ordenador, sino le parecerá solo la opción de "Insertar USB" para insertar una llave física de seguridad, pero ese no es el escenario aquí descrito. Además tanto el ordenador co el móvil deben tener conexión a Internet.
Teniendo Bluetooth activado, le aparecerá una pantalla en el ordenador que le mostrará un código QR dinámico. Abra la cámara o use directamente la aplicación Microsoft Authenticator para escanear el código QR que se muestra en la pantalla del ordenador.
El teléfono móvil reconocerá la solicitud de inicio de sesión vinculada a ese ordenador específico y le pedirá que confirme su identidad mediante biometría (huella dactilar, reconocimiento facial o el PIN de tu dispositivo).
Una vez validado con éxito en el teléfono, la autenticación se transmite de forma segura y cifrada al ordenador, permitiéndole entrar en su cuenta de inmediato sin haber introducido ninguna contraseña.

C. Si tenemos un passkey en el ordenador con Windows Hello e intentamos iniciar sesión desde ese ordenador:

Inicie sesión en un servicio cloud de la UC o en un servicio integrado con autenticación cloud.
Indique su nombre de usuario de la forma habitual (usuario@unican.es, usuario@gestion.unican.es o usuario@alumnos.unican.es)
Windows mostrará automáticamente la ventana de Windows Hello:
Escriba su PIN o utilice biometría. La sesión se abrirá de inmediato, sin solicitar contraseñas, sin enviar códigos al teléfono y sin necesidad de Bluetooth.