El Reino Unido permite a 23 millones de usuarios de GOV.UK One Login entrar con passkey en vez de contraseña y código SMS

El Reino Unido ha abierto las passkeys a todos los titulares de una cuenta GOV.UK One Login, el acceso único que se usa para los impuestos, la pensión estatal, la renovación del carné de conducir y las ayudas para el cuidado de niños. Desde el 14 de septiembre, los más de 23 millones de usuarios del sistema pueden sustituir la contraseña y el código por SMS por el escaneo facial, la huella o el PIN con los que ya desbloquean el teléfono. Según el Gobierno, la prueba con 300.000 usuarios fue lo bastante bien como para que casi uno de cada diez inicios de sesión diarios ya pase por una passkey, y cada uno de ellos ahorra un SMS: unas 600 libras al día. La contraseña sigue siendo una opción y, en contra de la impresión que da el anuncio, la guía sí explica qué pasa cuando se pierde el teléfono.

Qué cambió el 14 de septiembre

Las passkeys estaban en una prueba limitada desde el verano; el Government Digital Service publicó la guía para usuarios el 28 de julio. El anuncio del Departamento de Digital, Cultura, Medios y Deporte, que ahora alberga al GDS, las extiende a toda la base de usuarios. Iniciar sesión con una passkey es "hasta 8 veces más rápido" que con correo, contraseña y código de verificación en dos pasos, dice el departamento, y la comprobación biométrica o del PIN ocurre en el dispositivo: "la información biométrica o el PIN que se usa para desbloquear una passkey permanece en el dispositivo del usuario y GOV.UK One Login no la ve ni la almacena". La ministra de Gobierno Digital, Stephanie Peacock, lo presentó primero como comodidad y después como protección contra el fraude: "A nadie le gusta buscar una contraseña olvidada o esperar un código por mensaje de texto solo para revisar su declaración de la renta o renovar un documento." Jonathon Ellison, del NCSC, aportó el argumento de seguridad: "Los ciberdelincuentes suelen buscar la ruta más fácil hacia las cuentas importantes, por lo que los datos de acceso siguen siendo un objetivo habitual."

Cómo funciona en One Login, paso a paso

La mecánica es el estándar FIDO2 que Apple, Google y Microsoft incorporaron a sus sistemas operativos en 2022. Al registrarse, el dispositivo genera un par de claves específicamente para account.gov.uk. La clave pública va a One Login; la privada se queda en el gestor de credenciales y solo se libera cuando el dispositivo confirma que es usted por el medio que lo desbloquea. Un sitio de phishing en un dominio parecido no obtiene nada, porque la clave está ligada al auténtico. La guía del GDS es precisa en lo práctico.

1. Inicie sesión, abra "Manage your sign in details", busque "Set up a passkey", introduzca su contraseña y siga la indicación del dispositivo: cara, huella o PIN. Recibirá un correo que dice dónde se guardó la passkey.
2. La próxima vez, escriba su dirección de correo y desbloquee con el dispositivo. Cualquier dispositivo que comparta el mismo gestor de credenciales puede usarla: una passkey del iPhone funciona en el iPad.
3. En un portátil sin passkey, elija la opción de usar otro dispositivo, escanee el código QR con el teléfono que la tiene, con Bluetooth activado en ambos, y termine en el portátil.
4. Si falla, elija "Sign in another way" y use la contraseña y un código de seguridad. Si el teléfono se ha perdido, entre con la passkey en otro dispositivo o con la contraseña, luego elimine la passkey perdida en "Passkeys" y configure una nueva.

Dos líneas de la guía merecen atención. "No debería configurar una passkey en un dispositivo que comparta con otras personas", porque cualquiera que pueda desbloquearlo puede usarla: el iPad familiar cuenta. Y la passkey "se guardará en su gestor de contraseñas", lo que para la mayoría significa la nube de Apple o de Google. Eso es lo que hace indolora la recuperación tras perder el teléfono, y también lo que mete un acceso gubernamental en la misma cuenta de Apple o Google que guarda todo lo demás. El registro sin número que prepara Signal sigue el camino contrario, con claves que el usuario debe custodiar él mismo; One Login eligió la versión que la mayoría de la gente conseguirá usar de verdad.

La cuenta a la que se le pone este cierre

One Login se anunció en 2020 para sustituir 190 sistemas de cuentas gubernamentales distintos y 44 métodos de acceso, y está llegando: Hacienda (HMRC) ha migrado a él tras tres años de trabajo, y es el acceso que hay detrás de la identidad digital de la GOV.UK Wallet que las tiendas ya pueden aceptar. El historial del sistema no es impecable. PublicTechnology informó de que altos cargos del GDS advirtieron de que "acarreaba un alto nivel de riesgo", de que su sello oficial de identidad digital caducó durante nueve meses antes de recuperarse en febrero, y de que el GDS contrató a una consultora de seguridad para una auditoría de ciberresiliencia; la finalización prevista de todo el programa se retrasó tres años con cientos de millones de libras de inversión adicional. Nada de eso es un argumento contra las passkeys, que son la mejora de seguridad más barata disponible para un sistema de este tamaño. Es un argumento para tratar la cuenta como lo que se está convirtiendo: la llave única de las relaciones de un ciudadano con el Estado, que merece los dos minutos que lleva configurarla y una mirada a qué dispositivo y qué nube la guardan ahora.