El estado de la autenticación sin contraseña en la web

¡Ah, qué tal, todos? Estamos en pantalla. Sí. Hola. Um, despídete de las contraseñas. ¡Whoo! Como ya hemos visto, trabajo en Sona, soy un defensor del desarrollo allí. Tenemos un pequeño stand allí, así que ven a saludarnos. El resto del equipo está sentado justo allí. Es un poco lejos. Mi nombre es Phil Nash, soy un defensor del desarrollo allí. Puedes encontrarme en línea en todos los lugares con el nombre Phil Nash, Twitter, Mastodon, LinkedIn, solo ven a encontrarme, hazme preguntas. Me encantaría saber de todos ustedes.

Entonces, vamos a ello. Porque la mayoría de las personas en el mundo tienen aplicaciones en las que necesitan iniciar sesión, ocultar algo detrás de una parte de autenticación, y en su mayor parte, hemos estado autenticando a las personas utilizando contraseñas, y las contraseñas son realmente terribles. Espero que estés de acuerdo, espero que por eso estés aquí sentado. Pero repasaré un par de cosas solo para asegurarnos de que todos estemos de acuerdo en esto. En 2018, Google realizó una encuesta en la que hicieron varias preguntas sobre la seguridad de las cuentas, donde dijeron cosas como, ¿con qué frecuencia reutilizas contraseñas? Y este gráfico circular muestra que el 52% de las personas respondieron que reutilizan contraseñas algunas veces. Ahora, eso no es un buen comienzo. Y, por supuesto, hay una bonita sección verde aquí donde el 35% de las personas dijo que nunca reutilizan contraseñas. Me gustan esas personas. Soy fan de esas personas. Ahora me cuento entre ellas. A lo que debemos preocuparnos, bueno, debemos preocuparnos por las personas que lo hacen algunas veces. Realmente debemos preocuparnos por el 13% de las personas que, cuando se les preguntó si reutilizan contraseñas, dijeron que lo hacen todo el tiempo. Estas son las personas con una contraseña, no la aplicación, sino la cadena en su mente. Y esto es aterrador, ¿verdad? Esta contraseña, por lo general, no son buenas contraseñas. Son fáciles de romper, fáciles de hackear, y eso no es algo bueno. Además, durante la encuesta, preguntaron si las personas utilizan un administrador de contraseñas. Y el 24% de las personas dijo que sí, que utilizan un administrador de contraseñas. Eso está bien. Probablemente estén dentro de esa porción del gráfico circular que dijo que nunca reutilizan contraseñas. Bueno, eso me preocupa porque el 35% de las personas dijo que nunca reutilizan contraseñas. Y el 24% utiliza un administrador de contraseñas. ¿Hay un 11% que está mintiendo? ¿Supongo? No tienes que decir la verdad en las encuestas. Pero de todos modos. Entonces, el 24% de las personas utiliza un administrador de contraseñas. Pero eso significa que tres cuartos de las personas no lo hacen. Tiempos difíciles. Y luego, por supuesto, las personas que están utilizando sus contraseñas, por supuesto, están utilizando todas nuestras contraseñas favoritas. Estas son las 10 contraseñas más comunes

Ahora, hay cosas que podemos mejorar y hacer con nuestras aplicaciones, un poco de HTML, un poco de JavaScript, para animar a las personas a hacer las cosas un poco mejor. Voy a empezar con el atributo de autocompletar, mi atributo favorito absoluto en el elemento. Si usas el atributo de autocompletar new password en un elemento de entrada con el tipo de contraseña, los navegadores normalmente sugerirán una contraseña generada fuerte para las personas. Es un gran estímulo. Es una excelente manera de animar a las personas a ser más seguras. No les impide escribir 1-2-3-4-5-6 en ese campo, pero los anima a hacerlo mejor. Si usas el atributo de autocompletar en los formularios de inicio de sesión, puedes usar cosas como el nombre de usuario, que es una pista para el navegador para rellenarlo correctamente, y luego el autocompletado de la contraseña actual significa que puedes usar las contraseñas existentes que se han guardado. New password y current password son especialmente útiles en esas páginas donde estás cambiando una contraseña y no quieres que se autocomplete la misma en las tres casillas. Quieres la antigua contraseña y luego dos nuevas contraseñas. Ayuda.

Y luego, en el lado de JavaScript, tenemos la API de gestión de credenciales. Esta es una API que ha existido durante bastante tiempo, y no creo que haya recibido el reconocimiento que merece. Y por eso estoy aquí para destacar la API de gestión de credenciales. Es la que suena más emocionante, ¿verdad? Credencial. Sí. Exactamente. La API de gestión de credenciales nos permite almacenar y recuperar credenciales en el navegador. En este caso particular, estamos hablando de contraseñas. Nos permite almacenar y recuperar credenciales de contraseña utilizando el administrador de contraseñas del navegador.

Y si tienes acceso a la API de gestión de credenciales, podemos verificar la existencia de las credenciales de contraseña en el objeto ventana. Y si las tenemos, podemos crear una nueva credencial de contraseña utilizando un nombre de usuario, ID y contraseña correctos. Por lo tanto, haces esto durante el registro o inicio de sesión exitoso. Y una vez que hayas hecho eso, puedes pedirle al navegador que almacene esta credencial. Y luego, en ese momento, se le solicitará permiso al usuario. De hecho, es una solicitud muy reconocible para el usuario. Porque es el mismo tipo de cosa que el navegador ya ofrece. ¿Quieres que guardemos esta contraseña? Pero cuando hayas hecho eso, cuando hayas utilizado esta API para almacenar la contraseña, puedes llamar a navigator.credentials.get

Entonces, la experiencia de esto se ve así en Android. En este caso, es el navegador Chrome que dice: `Oye, ¿quieres guardar esta contraseña?` Y especialmente para Google, la almacenarán en tu cuenta de Google en lugar de solo en tu dispositivo, en tu navegador. Entonces, esto se sincroniza en diferentes dispositivos. Entonces, si alguien hace esto en su dispositivo móvil y luego va a iniciar sesión en su dispositivo de escritorio más tarde, estará disponible para ellos, lo cual me parece genial. Cuando vuelvas a iniciar sesión, disculpa el nombre de dominio extraño aquí, pero cuando vuelvas a iniciar sesión, este es el cuadro de diálogo de permisos que dice: `Oye, tenemos algunas credenciales para ti. ¿Quieres iniciar sesión?` Así que esto es algo que solo debes almacenar en un dispositivo que estés utilizando. No lo hagas en una computadora de la biblioteca o en la computadora de un amigo, porque luego volverán a iniciar sesión como tú la próxima vez. Pero permite iniciar sesión con una contraseña con un solo clic. Eso es todo. Estoy tratando de mejorar la experiencia aquí. Hemos agregado muchas cosas con esto para fomentar una mejor experiencia de inicio de sesión. Cuando el navegador se encarga de esto, ya no es necesario recordar contraseñas. Estamos aumentando efectivamente el número de personas que utilizan un administrador de contraseñas. Lamentablemente, en el security lado de las cosas, no hace que las personas usen una contraseña segura. No hace que las personas usen una contraseña única. Y por lo tanto, tenemos todos los problemas que teníamos anteriormente en términos de security. Como dije, las contraseñas son terribles. Esto está tratando de mejorar la experiencia de ello. Así que sigamos adelante. Para ayudar al security lado de las cosas, introducimos la autenticación de dos factores. Probablemente hayas visto un mensaje de texto

Entonces, la autenticación de dos factores fue un retroceso en la experiencia del usuario, pero si podemos agregar estos atributos de autocompletar, se convierte en un paso mínimo, normalmente presionando un botón de aprobación o

En este caso particular, la API de Autenticación Web nos permite utilizar el navegador para crear y almacenar un par de claves pública y privada, luego compartimos la clave pública con el sitio al que estás intentando iniciar sesión o registrarte, y ese sitio puede usar la clave pública para verificar cosas firmadas utilizando la clave privada. Así es como lo creamos, usamos la función create de las credenciales del navegador, y en este caso, el servidor envía un desafío, un conjunto de bytes aleatorios que creamos, que enviamos a la creación, también tenemos que decir en qué dominio estamos, esto vincula el par de claves pública y privada a ese dominio específicamente, por lo que no es posible pescar una clave de security utilizando una authentication real. Luego agregamos algunos detalles del usuario y algunos algoritmos que podemos usar, y esto va a configurar todo un conjunto de cosas de criptografía, va a firmar ese desafío y nos devolverá tanto un desafío firmado como la clave pública, que podemos compartir de vuelta al servidor, el servidor puede luego usar la clave pública para verificar el desafío y asignar esta clave a este usuario. Luego, cuando volvemos a iniciar sesión, como nuestro segundo factor en este caso, podemos usar navigator potentials, obtener con la clave pública, enviar otro desafío, y luego en este caso solo va a devolver el desafío firmado, no necesitamos devolver la clave nuevamente, solo devuelve un desafío que puedes enviar de vuelta al servidor, descifrar y verificar utilizando la clave pública, y listo. Esto es realmente genial, porque ahora tenemos esta clave de autenticador que actúa como nuestra autenticación de dos factores, está conectada a nuestra máquina y podemos, y normalmente solo es un toque para interactuar con ella, así que volvemos a dos pasos, pero no necesitamos una clave de autenticador. Esto no es genial para cosas de consumo, porque no podemos esperar que cada consumidor tenga una clave de security. Y está vinculada a la clave en sí, por lo que si inicias sesión en otro dispositivo, debes mover la clave a ese dispositivo o registrar múltiples claves. Así que hay un problema inicial allí, pero en cuanto al security lado de las cosas, ahora estamos en el mundo de la criptografía de clave pública y privada. Si esa clave pública se revela en algún tipo de violación del servicio, no hay problema, es una clave pública. Todo lo que se puede hacer es verificar algo con la clave privada, por lo que no podemos filtrar esto y tampoco se puede pescar. Como dijimos, hemos vinculado la clave al dominio. Esto no es genial. Esto es genial. Maravilloso. Tenemos esto. La única dificultad aquí es necesitar las claves en sí. Entonces, aquí es donde estamos llegando en este mundo donde estamos tratando de eliminar por completo las contraseñas. Y finalmente, hemos llegado a ese punto. Ha sido mucho trabajo.

Y así tienes que probar la existencia de esos ajustes. Y esto es un poco preocupante. Siento que el comité de standards aquí probablemente fue un desarrollador de Java en algún momento, ya que tenemos que pedir cosas como ¿está disponible el autenticador de plataforma que verifica al usuario? Mira, es un nombre de función muy largo. Pero al menos sabes lo que hace. En realidad, digo eso, pero ¿está disponible la mediación condicional no es tan obvio. Pero ¿está disponible el autenticador de plataforma que verifica al usuario es una función que podemos llamar para averiguar si hay un dispositivo, un autenticador en el dispositivo para que podamos preguntar ¿está disponible la mediación condicional nos permite mostrar opciones de passkeys que has registrado en el dispositivo. Si esas dos cosas están disponibles, entonces podemos continuar y llamar a la autenticación web. Entonces, nuevamente, API de gestión de credenciales. Cuando creamos una credencial en este caso, tenemos que pedir un par de cosas adicionales. En este caso, es la parte de selección del autenticador en la parte inferior. Y tenemos que decir que queremos que el adjunto del autenticador sea plataforma. Esto lo vincula al dispositivo. No te permite usar una clave para ello. Ahora, he hecho algunas pruebas recientemente con algunas personas que dicen: todavía quiero usar mi clave, sin embargo. Y resulta que también puedes implementarlo con una clave, con una clave de security. Pero estamos tratando de hacer esto para usuarios regulares que no tienen claves de security pero saben cómo poner su dedo en su computadora portátil. Y luego, el otro lado de las cosas es requerir resident key que permite guardar la clave en el dispositivo y recuperarla más tarde. Entonces, si tenemos esas dos cosas, obtenemos un passkey de esto siempre y cuando el usuario diga que sí.

Y esto es cómo se ve. He ido a passkeys.io porque es una demostración realmente buena de esto, y estoy en Safari en la computadora de escritorio en el lado izquierdo de la pantalla en este momento. No tenemos una cuenta, así que vamos a crear una y hacer un passkey. Esto ha mostrado ese diálogo de permisos. Tienes que usar el lector de huellas dactilares y guardarlo, y eso nos ha guardado un passkey. Buen trabajo. Y así no es muy emocionante más allá del inicio de sesión en esta demostración en particular, pero eso es lo que hace. Luego puedes volver a iniciar sesión y decir, ahora quiero iniciar sesión con el passkey. Hice esta demostración varias veces y aún no puedes eliminar passkeys, pero es el que está en la parte inferior con mi correo electrónico de Sonosource que estamos buscando. Así que perdí suficiente tiempo para asegurarme de que se sincronizara en mi iPhone, que ahora está en el lado derecho de la pantalla. Y así, si vamos al teléfono, podemos ir y simplemente iniciar sesión de inmediato con un passkey. Y nuevamente, vamos a obtener esa larga lista de passkeys que he guardado, pero si miramos hacia abajo, encontramos nuevamente el correo electrónico de Sonosource.

En este caso, utilizamos nuestra identificación facial y nos registramos de inmediato. En realidad, puedes verificar que el passkey es el mismo. Tiene el mismo ID en la pantalla. Así que eso es genial en todos los navegadores en la misma red, pero si vamos a Chrome ahora, podemos iniciar sesión con un passkey, y Chrome sabe que no tenemos ningún passkey para esto, por lo que inmediatamente nos ofrece este código QR.

Luego podemos usar el teléfono para escanear el código QR. No sé cómo usar mi teléfono. Usa el teléfono para escanear el código QR y úsalo para iniciar sesión con un passkey, y nos da las mismas opciones nuevamente. Una vez más, nos desplazamos hasta el final, encontramos el correo electrónico de Sonosource y decimos, sí, quiero usar la identificación facial. El passkey tiene éxito, lo envía de vuelta al navegador, que puede comunicarse con el servidor, y hemos iniciado sesión en Chrome. Ahora, lo único que esta demostración en particular no muestra es que luego deberíamos ofrecer dentro de ese navegador, como, registrar una nueva clave, para que no tengas que pasar por el proceso del segundo dispositivo nuevamente. Pero creo que eso es bastante genial. Creo que desde el punto de vista del registro y el inicio de sesión, hemos solucionado casi todo. Entonces, la experiencia es excelente. Ahora no necesitamos una contraseña. Nunca más tendremos que preguntar a las personas si reutilizan sus contraseñas, porque no puedes reutilizar esta información. No tenemos que pensar en contraseñas largas y difíciles o diferentes para cada dispositivo, cada aplicación, porque se hace completamente por nosotros. Requiere el autenticador de plataforma. Y aunque la mayoría de las personas, no todas, pueden tener un dispositivo capaz de eso. Y así, todavía tenemos que implementar las cosas antiguas, por eso antes de llegar a este tema sin contraseña, te hablo de cómo podemos mejorar esas cosas en el camino. Pero luego se sincroniza en todos los dispositivos. Y, nuevamente, eso es una experiencia bastante mágica, creo. Cuando inicias sesión en un lugar y descubres que puedes iniciar sesión en otro dispositivo sin ningún esfuerzo adicional. Maravilloso. Y luego, en cuanto a la security seguridad, son todas las cosas que mencioné anteriormente sobre la authentication autenticación web. Es resistente al phishing, es de clave pública-privada, no se puede filtrar. Es glorioso. No soy un consultor de seguridad profesional remunerado de ninguna manera, lo que significa que puedo decir, ¿es perfecto? Quizás. Pero tal vez una desventaja es que dependemos de plataformas como Apple y Google para permitirnos hacer esta sincronización. Ahora, estas claves están cifradas por esas contraseñas de cuenta antes de que se compartan en las diversas nubes y solo se descifren de nuevo en el dispositivo.

1Password es un defensor divertido de la autenticación sin contraseña. Siento que eventualmente tendrán que cambiar el nombre de su empresa. Pero están a favor de ello. También quieren ver el fin de las contraseñas. Y mientras intentan admitirlo como parte de su complemento, parte de su aplicación, también están apoyando a las personas que lo están implementando. Y si vas al directorio de Passkey, este es un sitio respaldado por 1Password. Enumera los lugares que ahora admiten la autenticación sin contraseña a través de Passkeys. Y puedes revisar esta lista, seleccionar las cuentas que tienes e iniciar sesión para ver si puedes registrarte un Passkey y deshacerte de esas contraseñas. Yo lo hice con mi cuenta de Microsoft, lo cual es genial. Ya no tengo una contraseña para acceder a mi cuenta de Microsoft. Lo agregué a GitHub, pero actualmente solo se usa como segundo factor. Pero espero que eso sea algo que podamos cambiar. Y hay otros lugares.

Entonces, algunas recomendaciones para esto, este es el momento de implementarlo. Este es el momento de mejorar nuestras cuentas, mejorar la autorización de nuestra cuenta, la autenticación, para que sea una mejor experiencia y una experiencia más segura para todos. Por lo tanto, detecta el soporte de Passkey y ofrécelo de inmediato. Admite múltiples Passkeys. Como dije, queremos poder ofrecer un registro de Passkey si has tenido que iniciar sesión mediante el método del código QR. Aún necesitamos incluir alternativas con contraseñas e incluir autenticación de dos factores porque las contraseñas simplemente no son suficientes. Pero si utilizamos todos los consejos que mencioné al principio de la charla, podemos mejorar esa experiencia y también hacerla un poco más segura. Y finalmente, una vez que un usuario pueda usar sus Passkeys, puedes ofrecerle que elimine esa contraseña, esa credencial insegura. Estaría encantado de eliminarla de mi cuenta de Microsoft y otras personas también pueden hacerlo. Tengo algunos enlaces en la diapositiva que compartiré en las redes sociales. Pero aparte de eso, deshagámonos de las contraseñas. Vamos por los Passkeys todo el camino. Nuevamente, mi nombre es Phil Nash, soy un defensor del desarrollo para Sona. Muchas gracias por venir.