Pymes con correo y aplicaciones en la nube
Una cuenta de correo tomada abre todo lo demás: empezar por las cuentas que más daño pueden causar.
SMARTLEDGE · identidad digital
FIDO2 y passkeys: autenticación sin contraseña
FIDO2 es el estándar que permite iniciar sesión sin contraseña, con passkeys o llaves de seguridad que no se pueden entregar en un sitio falso. SMARTLEDGE evalúa, diseña e implementa autenticación sin contraseña para empresas, pymes y organismos de Argentina: releva qué aplicaciones son compatibles, define cómo se recupera el acceso y despliega por etapas, con políticas y capacitación.
Una contraseña se puede adivinar, reutilizar o tipear en la página equivocada. Un código por SMS, también. Una credencial FIDO2 solo responde ante el sitio para el que fue creada.
SL / 01Qué es
¿Qué son FIDO2 y las passkeys, y por qué frenan el phishing?
FIDO2 reemplaza la contraseña por un par de claves criptográficas: la privada nunca sale del dispositivo o la llave, y el servicio guarda solo la pública. Una passkey es la forma más común de usar ese estándar. Como cada credencial queda vinculada al dominio del servicio, un sitio falso no tiene nada que robar.
| Contraseña + código | Passkey sincronizada | Llave de seguridad física | |
|---|---|---|---|
| Qué usa la persona | Contraseña + códigoAlgo que recuerda y un código por SMS o app | Passkey sincronizadaHuella, rostro o PIN en su dispositivo | Llave de seguridad físicaUna llave USB o NFC, con PIN o toque |
| Frente al phishing | Contraseña + códigoSe puede entregar en un sitio falso | Passkey sincronizadaResistente: vinculada al dominio del servicio | Llave de seguridad físicaResistente: vinculada al dominio del servicio |
| Dónde queda el secreto | Contraseña + códigoEn la memoria de la persona y en el servicio | Passkey sincronizadaEn el dispositivo, y se sincroniza mediante la cuenta | Llave de seguridad físicaDentro de la llave; no sale de ella |
| Si se pierde | Contraseña + códigoReinicio de contraseña | Passkey sincronizadaSe recupera con la cuenta de sincronización | Llave de seguridad físicaSe usa una segunda llave registrada y se da de baja la perdida |
| Uso habitual | Contraseña + códigoSistemas que todavía no admiten otra cosa | Passkey sincronizadaUso general del personal y adopción rápida | Llave de seguridad físicaAdministradores, accesos críticos, puestos compartidos |
SL / 02Qué incluye
Qué resolvemos en un proyecto sin contraseñas
- Relevamiento de aplicaciones: qué sistemas admiten FIDO2 directamente, cuáles a través de tu proveedor de identidad y cuáles necesitan una solución de transición.
- Grupos de usuarios: quién necesita passkeys, quién llaves físicas y quién tiene necesidades particulares (personal sin teléfono corporativo, puestos compartidos).
- Recuperación de acceso: cómo se verifica la identidad de una persona antes de habilitarle un autenticador nuevo.
- Altas, cambios y bajas: el ciclo de vida de cada credencial: emisión, reemplazo y revocación, para que nadie conserve accesos que ya no le corresponden.
- Políticas: qué métodos se aceptan en cada sistema, cuándo se exige FIDO2 y cuándo se deshabilita la contraseña.
- Llaves y dispositivos: selección de llaves de seguridad y modelos según los puertos, el uso y otras credenciales que deban convivir.
- Convivencia con otros métodos: PKI, certificados y códigos de un solo uso durante la transición, o de forma permanente donde corresponda.
- Capacitación: materiales y acompañamiento para que las personas sepan usar su credencial y a quién recurrir.
Seleccionamos fabricantes y equipos según el proyecto, su integración y su soporte. El alcance, los equipos y la implementación se definen por escrito en cada propuesta.
SL / 03Experiencia
Nuestra experiencia en identidad y credenciales
La identidad digital no se resuelve solo con emitir credenciales: hay que decidir en qué confía cada proceso y poder demostrarlo después. Ese es el criterio que traemos de proyectos de identidad, credenciales y acceso en Argentina, como la emisión de credenciales multiuso del GCBA (52 puntos de emisión), las credenciales multiaplicación del Puerto de Buenos Aires y la identidad biométrica en ARSAT. Son proyectos de identidad y credenciales, no despliegues FIDO2.
SL / 04Para quién
¿Quién debería dejar de usar contraseñas primero?
Administradores y accesos críticos
Quienes administran sistemas, finanzas o datos sensibles son el primer objetivo, y el primer grupo a proteger.
Organizaciones expuestas al phishing
Cuando la capacitación no alcanza y los códigos por SMS o app se pueden entregar igual.
Organismos y empresas con requisitos de identidad
Cuando hay que demostrar quién accedió, con qué método y qué pasó con las credenciales al cambiar de función.
SL / 05Cómo trabajamos
Cómo es un proyecto con SMARTLEDGE
- Primero el proceso: quién accede a qué, qué riesgo tiene cada grupo y qué hay que poder demostrar; la tecnología se elige a partir de eso.
- Piloto acotado: un grupo chico, con aplicaciones reales, para encontrar los problemas antes de ampliar.
- Despliegue gradual: por grupos y por riesgo, manteniendo un método alternativo hasta confirmar que todo funciona.
- Recuperación probada: el procedimiento se ensaya antes de quitar las contraseñas.
- Soporte: con alcance y tiempos de atención acordados según la operación.
Un (1) día en tu empresa. Una evaluación sin honorarios profesionales.
Si no tenés claro por dónde empezar, empezamos por ahí: relevamos tu operación y te dejamos una devolución escrita con el mejor camino posible en tu contexto tecnológico.
SMARTLEDGE asume los honorarios profesionales de la evaluación y de la devolución escrita. Viáticos por cuenta del cliente. Propuesta disponible para Argentina, Chile, Paraguay y Uruguay.
Pedí un día de evaluación sin honorariosSL / 06Preguntas
Preguntas frecuentes
¿Qué son las passkeys?
Son credenciales de inicio de sesión basadas en el estándar FIDO que reemplazan a la contraseña. Usan un par de claves criptográficas: la clave privada queda en el dispositivo o en una llave de seguridad, y el servicio guarda solo la clave pública. La persona confirma con su huella, su rostro o un PIN, y esa verificación ocurre en el propio dispositivo.
¿Cómo eliminar las contraseñas en una empresa?
Por etapas. Primero se relevan las aplicaciones y cuáles admiten FIDO2 directamente o a través del proveedor de identidad; después se define la recuperación de acceso y se hace un piloto con un grupo acotado, empezando por administradores y personas con accesos críticos. Luego se amplía y, recién cuando todo funciona, se deshabilita la contraseña donde es posible. Las aplicaciones que no sean compatibles necesitan una solución de transición.
¿En qué se diferencia FIDO2 de un código por SMS o una app autenticadora?
Un código se puede tipear en un sitio falso y el atacante lo reutiliza en el sitio real. Con FIDO2 la credencial queda vinculada al dominio del servicio: en un sitio falso, el navegador no la ofrece y no hay nada para copiar. Por eso se la considera resistente al phishing.
¿Passkeys sincronizadas o llaves de seguridad físicas?
Las passkeys sincronizadas son más simples de adoptar porque acompañan a la persona entre sus dispositivos a través de su cuenta. Las llaves físicas mantienen la clave en un dispositivo dedicado del que no sale, y suelen preferirse para administradores, accesos críticos y puestos compartidos. Muchas organizaciones combinan ambas según el riesgo de cada grupo.
¿Qué pasa si alguien pierde su llave o cambia de teléfono?
Se resuelve con el diseño previo: registrar más de un autenticador por persona, y tener un procedimiento de recuperación que verifique la identidad antes de habilitar uno nuevo. La recuperación es el punto más delicado del proyecto, porque si es débil se convierte en la puerta de entrada que el atacante va a intentar usar.
¿La huella o el rostro se envían al servicio?
No. En FIDO2 la biometría solo desbloquea la clave en el dispositivo de la persona; al servicio llega una firma criptográfica, no el dato biométrico. Es distinto de un control de acceso biométrico físico, donde el sistema guarda y compara los datos de las personas.
¿FIDO2 reemplaza a la firma digital o a los certificados PKI?
No: resuelven cosas distintas. FIDO2 sirve para autenticar a una persona al iniciar sesión. La firma digital con certificados, regulada en Argentina por la Ley 25.506, sirve para firmar documentos con valor legal. Pueden convivir, y una misma llave puede dar soporte a ambos usos si el modelo lo admite.
¿Cuánto cuesta implementar FIDO2 o passkeys?
Depende de la cantidad de personas, de si se usan passkeys de la plataforma o llaves físicas, de cuántas aplicaciones hay que adaptar y de la capacitación necesaria. Cotizamos después de relevar el entorno.
SL / 10
Contacto
Hablemos de tu desafío
Contanos qué proceso querés mejorar, qué ocurre hoy y qué resultado necesitás. Con esa información podemos empezar a definir el alcance y el próximo paso.
Gracias. Recibimos tu mensaje y te responderemos a la brevedad.