🔐 Autenticación Sin Contraseña (Passwordless Authentication)

🌟 ¿Qué es exactamente?

Autenticación sin contraseña significa que no se usa ninguna contraseña en absoluto para validar la identidad del usuario.

En lugar de eso, se utilizan autenticadores seguros + cripto (pares de claves pública/privada) para verificar al usuario.
Es un sistema que busca eliminar el eslabón más débil de la seguridad:

→ Las contraseñas, porque son fáciles de adivinar, robar, interceptar o reutilizar.

📚 Analogía para entenderlo mejor

Imagina que tu contraseña es como una llave vieja para tu casa:

La pierdes → Alguien puede entrar.
La duplicas → Alguien puede hacer copias.
Te la roban → Fácil acceso.

Passwordless es como tener un sistema biométrico + llave cifrada en la puerta:

Nadie puede replicar tu huella o rostro fácilmente.
Nadie puede robar la llave, porque está en un enclave seguro dentro del dispositivo.
Nadie puede interceptarla, porque solo el enclave puede usarla.

🚦 Cómo funciona paso a paso (en detalle)

1️⃣ Elijo mi autenticador → Ejemplos reales:

Windows Hello → Facial o huella.
Llave FIDO2 → Yubikey o Titan Key.
Apple FaceID o TouchID.

2️⃣ Registro en el servicio:

El autenticador genera un par de claves → Pública/Privada.
La clave pública se manda al servidor → Asocia con tu cuenta.
La clave privada se queda en el autenticador (NO SALE JAMÁS).

3️⃣ Autenticación:

El servidor lanza un desafío criptográfico (challenge) → "Demuestra que eres tú".
Tú usas tu gesto local → PIN, huella, rostro.
La clave privada firma el desafío.
El servidor lo valida con tu clave pública registrada → Si coincide → 🎉 ¡Acceso concedido!

📌 Atestación → Validación del autenticador

Para que todo esto sea seguro de verdad:

El autenticador debe demostrar que es legítimo.
La atestación envía información sobre:
- Fabricante y modelo del dispositivo.
- Certificación de que es seguro.

Esto no es único por usuario → Para evitar problemas de privacidad.

🔧 Ejemplos reales (visión Purple Team)

Escenario Ejemplo real Impacto
Autenticación a cuentas corporativas Login en Azure AD con Windows Hello Sin contraseña → Menos phishing
Acceso a sistemas críticos Llave de seguridad FIDO2 para servidores No se puede robar la clave
Acceso a aplicaciones web WebAuthn en navegadores Compatible universalmente y sin contraseña

🚨 Beneficios de Passwordless

✅ No hay contraseñas que puedan ser:

Phished
Robadas
Forzadas

✅ El ataque debe ser físico → Robar el dispositivo → Muy difícil + requiere desbloqueo local.

✅ Compatible con MFA → Puedes combinar:

Algo que tienes (la llave).
Algo que eres (biometría).

⚡ Desafíos

⚡ Si pierdes el autenticador → Debe existir un proceso de recuperación seguro.

⚡ Aún pueden existir ataques avanzados:

Malware local → Si es posible capturar la firma.
Ataques a la implementación → Si el enclave seguro tiene vulnerabilidades.

⚡ Necesidad de políticas avanzadas → Rotación de dispositivos, recuperación, gestión de autenticadores.

🟪 Purple Team → ¿Cómo se ataca y cómo se defiende?

🔴 Red Team (Ataques posibles)

Phishing → Capturar desafío-respuesta (aunque muy difícil).
Ataques físicos → Robar autenticador y desbloquear.
Malware en el endpoint → Intentar usar la clave privada (muy complejo).

🔵 Blue Team (Defensa)

Enrollar solo autenticadores seguros (atestación obligatoria).
Rotar autenticadores periódicamente.
Política de recuperación segura → MFA adicional o administrador.
Protección endpoint avanzada → evitar malware.

🟪 Purple Team (Simulación y Mejora)

Simular pérdida de autenticador → Revisar proceso de recuperación.
Simular ataques de phishing → Verificar que el sistema no responde a intentos maliciosos.
Auditar procesos de atestación → Solo modelos certificados aceptados.

✅ Resumen práctico

AUTENTICACIÓN SIN CONTRASEÑA DEFINICIÓN:

- No se usan contraseñas.

- Autenticadores seguros + claves pública/privada → autenticación.

FUNCIONAMIENTO:

1. Registro → clave pública → servidor.

2. Autenticación → gesto local → firma con clave privada.

3. Verificación → servidor → acceso.

TIPOS DE AUTENTICADORES:

- Plataforma → Windows Hello, FaceID.

- Itinerantes → Llaves FIDO2 → Yubikey, Titan Key.

ATESTACIÓN:

- Valida que el autenticador es seguro y legítimo.

- Evita autenticadores clonados o inseguros.

VENTAJAS:

- No existe contraseña → No phishable. - Acceso local → Necesita gesto → Difícil de robar.

- MFA → Algo que tienes + Algo que eres.

DESAFÍOS:

- Pérdida del autenticador → Plan de recuperación.

- Malware local → Debe protegerse.

PURPLE TEAM: - Simular ataques de phishing.

- Validar procesos de recuperación.

- Asegurar atestación obligatoria y solo autenticadores certificados.