Autenticación multifactor: Durante el registro de una clave de acceso y durante el inicio de sesión, FreedomBox solicita que el navegador verifique al usuario. Esto significa que el usuario necesitará desbloquear el dispositivo autenticador proporcionando un PIN, huella o reconocimiento facial. Esto actúa como uno de los factores de autenticación: "algo que sabes" o "algo que eres". Otro factor de autenticación es "algo que tienes": el hardware que almacena tu clave de acceso (como Solokey, Nitrokey o Yubikey) o un teléfono. Juntos, esto es similar a usar una contraseña con un segundo factor de autenticación. Por tanto, las claves de acceso pueden reemplazar la autenticación en dos pasos siendo mucho más cómodas y fáciles de usar.

Sin reutilización: Las claves de acceso nunca se reutilizan. Para cada dominio se genera y usa una clave de acceso separada. Los navegadores aseguran que la clave de acceso de un dominio nunca se use con otro dominio. A diferencia de las contraseñas reutilizadas, cuando un sitio web o servicio se ve comprometido, los maleantes no pueden usar eso para acceder a tu cuenta en otro sitio o servicio. Esto también previene ataques de phishing donde sitios impotores se hacen pasar por sitios legítimos.

No hay secretos en el servidor: El sitio que permite el uso de claves de acceso para el inicio de sesión no almacena información secreta. Solo guarda la parte pública de la clave de acceso. Si esta información es obtenida por un adversario, no podrá iniciar sesión en el sitio. Solo la clave privada almacenada en el dispositivo autenticador puede usarse para iniciar sesión (ya que solo una clave privada puede crear las firmas necesarias para el proceso de inicio de sesión).

No adivinación: La parte secreta de una clave de acceso es mucho más dificil de adivinar que una contraseña. No existe el riesgo de que alguien adivine tu contraseña y acceda a tu cuenta. No existe el riesgo de que configures accidentalmente una contraseña predecible.

Comodidad: Los usuarios no necesitan recordar nombre de usuario, correo electrónico o un secreto para iniciar sesión en un sitio. No necesitan recibir OTP por SMS o correo, usar una app TOTP ni confirmar el inicio desde una app móvil. Tras hacer clic en el botón "Login mediante clave de acceso", desbloquean su autenticador con un PIN, huella o reconocimiento facial. Luego tocan físicamente el autenticador (si es necesario). El usuario queda entonces autenticado. Hay menos cosas que recordar. Incluso el PIN de un autenticador hardware suele ser más fácil de recordar que una contraseña. Esta comodidad anima a los usuarios a usar este mecanismo, lo que a la larga mejora la seguridad.

Hardware de claves de acceso separado: La forma recomendada de almacenar claves de acceso es en una llave hardware específica. En esta configuración, la clave privada de la clave de acceso nunca abandona el dispositivo hardware. Además, suelen estar diseñadas para que sea difícil para un atacante con acceso físico extraer la clave de acceso. Otra ventaja de estos dispositivos es que pueden utilizarse con todos tus dispositivos existentes, como teléfonos, portátiles y escritorios. Estos dispositivos interactúan con teléfonos y equipos mediante USB, Bluetooth o NFC. En caso de NFC, el dispositivo funciona por proximidad con el teléfono sin energía adicional. Al usar un hardware separado, sin embargo, debes tener un método de respaldo para iniciar sesión si pierdes el dispositivo hardware. Esto puede ser otra clave de acceso en otro hardware o una contraseña. Ver la sección de copia de seguridad más abajo.

Hardware empotrado para claves de acceso: Cuando no hay un dispositivo hardware separado, es preferible el hardware especializado, como un TPM, integrado en el equipo. Esta configuración seguirá asegurando que las claves de acceso no abandonen el hardware. Una desventaja es que la clave de acceso solo funciona con ese equipo y tendrás que registrar cada dispositivo que uses por separado.

Administradores de contraseñas: Como último recurso, se pueden usar gestores de contraseñas que soporten claves de acceso y funcionen con tu navegador o sistema operativo. Android, iOS y Windows ofrecen administradores así. Las claves de acceso guardadas en administradores suelen sincronizarse con la nube y una brecha en ese servicio/cuenta podría comprometer todas tus cuentas. Sin embargo, funcionan en múltiples dispositivos y normalmente no tienes que preocuparte por perder un solo dispositivo hardware.