Novedades

Cómo obtener la autenticación de dos factores correctamente: comience con la autenticación de dos factores

La autenticación de dos factores (2FA) parecía algo para películas de espías o thrillers políticos, el tipo de cosas que Ethan Hunt tiene que usar con Mission Impossible para iniciar sesión en su misión antes de cometer autodestrucción. Pero ese ya no es más el caso. Casi todos usamos la autenticación de dos factores todos los días, ya sea la autenticación biométrica de dos factores en nuestros dispositivos (huella digital o reconocimiento facial) o las contraseñas de un solo uso que recibimos a través de SMS o una aplicación de autenticación.

Nuestras cuentas son demasiado valiosas para que los piratas informáticos las ignoren. Incluso una cuenta de correo electrónico comprometida puede ser un trampolín para acceder a cuentas financieras y robarle el dinero que tanto le costó ganar mientras crea un escenario de pesadilla para usted. Si bien las películas muestran a un hacker con capucha con los dedos volando enojado sobre el teclado, la realidad es para 2021. Informe de investigación de violación de datos de Verizon la gran mayoría de las brechas de seguridad (85%) tienen una dimensión humana. 2FA es la mejor forma de combatir este tipo de ataques.

Ya sea que crea que esto es un problema real para usted o no, muchas empresas están cambiando a 2FA como una medida de seguridad necesaria. Google es una de las últimas empresas en anunciar la necesidad de 2FA En el futuro.

Recientemente explicamos por qué tienes que Deje de usar su número de teléfono para la autenticación de dos factoressi te lo perdiste y no estás seguro de por qué es una mala idea, léelo y vuelve aquí. Ahora le mostraremos cómo hacer 2FA correctamente.

¿Qué es la autenticación de dos factores?

2FA es la forma más conocida y más utilizada de autenticación multifactor (MFA), que, como su nombre lo indica, depende de una serie de factores para verificar su identidad. Un ejemplo clásico es retirar dinero de un cajero automático, necesita su tarjeta y PIN para acceder a su cuenta.

Este ejemplo incluye dos de las tres categorías de MFA, “lo que tienes” (objeto físico) y “lo que sabes” (contraseña o pregunta de seguridad). La tercera opción es “quién eres” y representa un método biométrico como un escáner de huellas dactilares o reconocimiento facial. A diferencia de una contraseña extremadamente compleja, esto elimina la posibilidad de que su cuenta sea pirateada sin acceso físico a usted.

El anuncio de 2FA de Google mencionó las contraseñas como “la mayor amenaza para su seguridad en línea”. Actualmente, las contraseñas siguen siendo una parte integral del proceso 2FA para la mayoría de las personas. Sin embargo, el punto es que el punto débil de la cadena es que al menos un factor adicional debe empeorarla. Así que echemos un vistazo a las mejores opciones para 2FA.

Autenticación de dos factores basada en aplicaciones

Como ocurre con casi todo, existen soluciones de aplicaciones para administrar 2FA, llamadas aplicaciones de autenticación. Hay docenas de ellos en el mercado, solo algunos que recomendaría Authy, Autenticador de Microsoft, Ultimo pase es 1 contraseña. Google Authenticator es otra opción popular, pero no me gusta que no requiera una contraseña biométrica o un inicio de sesión, es una falla de seguridad potencial en un proceso que intenta solucionarlo.

Authy es una aplicación de autenticación dedicada y se usa específicamente para el inicio de sesión 2FA. Microsoft Authenticator, LastPass y 1Password son administradores de contraseñas que tienen un componente de autenticación integrado. Si necesita un administrador de contraseñas o ya está usando uno, tomaría esta ruta ya que hace que el proceso 2FA sea lo más fluido posible.

Una vez que haya seleccionado e instalado su aplicación de autenticación, estará listo para configurar 2FA para sus cuentas. Esta será una parte ordenada del proceso, ya que deberá visitar todos los servicios o sitios web que utilice que ofrezcan soporte 2FA, uno a la vez. Sospecho que este es el paso que evita que la mayoría de la gente use 2FA, pero al final vale la pena por su seguridad en línea. Y una vez que haya configurado 2FA, no estará tan abarrotado como algunas personas imaginan.

Durante la configuración inicial, puede escanear un código QR o, en algunos casos, ingresar un código y ese servicio se guardará en su aplicación de autenticación. Verá sus cuentas con un conjunto de seis dígitos al lado y un temporizador de cuenta regresiva. Se genera un nuevo código aleatorio de seis dígitos cada 30 segundos para cada uno. Estas son contraseñas temporales (TOTP), similares a las que recibiría por SMS o correo electrónico, pero no requieren una conexión a Internet y no pueden ser interceptadas por nadie.

En la mayoría de los casos, no necesitará ingresar su código TOTP cada vez que inicie sesión, a menos que requiera este nivel de seguridad. Por lo general, solo necesita usarlo cuando inicia sesión en un nuevo dispositivo o después de que haya transcurrido cierto tiempo. 30 días es común, pero los sitios web y los servicios son diferentes.

Autenticación de dos factores basada en hardware

Definitivamente ahora existe un factor de conveniencia para la autenticación móvil. En dos años Estudio de caso con Google, una solución basada en hardware era cuatro veces más rápida, menos susceptible de soporte y más segura. La solución de hardware MFA / 2FA es muy similar a una unidad flash USB. Vienen en una variedad de formas y tamaños y son compatibles con sus dispositivos USB Type-A, USB Type-C y Lightning. Algunas opciones modernas ofrecen soporte inalámbrico a través de NFC o Bluetooth.

Con estos tokens de seguridad, simplemente insértelos en su dispositivo o deslícelos en el chip NFC de su dispositivo y esto actúa como un modo 2FA. Esta es la categoría de MFA “usted tiene”. Es fácil ver cómo se puede hacer esto más rápido que abrir la aplicación de autenticación, obtener el código TOTP relevante y luego ingresarlo antes de restablecer.

Al igual que con las aplicaciones autenticadas, hay una gran cantidad de opciones con el hardware 2FA. El más famoso (y el elegido por Google para sus más de 50.000 empleados) YubiKey. Google tiene el suyo Llave de seguridad de titanio es Thetis Es otro jugador fuerte en el mercado, pero todas estas opciones han sido confirmadas por FIDO U2F, un estándar abierto desarrollado por Google y Yubico (la compañía detrás de YubiKey) en 2007 para promover la adopción generalizada de autenticación segura.

El proceso de configuración es básicamente el mismo que el método de autenticación móvil. Debe ir a todos los servicios y seguir las instrucciones para configurar 2FA. En lugar de escanear un código QR y obtener códigos TOTP, ingrese o elimine la clave de seguridad cuando se le solicite y luego se registrará en este servicio. Cuando se le solicite en el futuro, todo lo que tiene que hacer es ingresar u omitir el token de seguridad y tocar el contacto. Si no está seguro de qué servicios y aplicaciones está utilizando que admiten una clave de seguridad, puede consultar esta guía Catálogo de Yubico.

El problema más común con la llave de seguridad es qué hacer si se pierde o se rompe. Hay algunas opciones. La clave utilizada por Google y recomendada por Yubico es administrar dos tokens de seguridad, uno almacenado de forma segura y el otro que llevas contigo. Aparte de algunos pequeños letreros de seguridad que están diseñados para insertarse permanentemente en los dispositivos en un lugar seguro, cada letrero de seguridad tiene un orificio para que puedan fijarse al llavero.

Esto significa que debe ejecutar ambas claves de seguridad cada vez que se registre con 2FA con un nuevo servicio, porque se registran con el hardware físico en lugar de una cuenta, pero incluso después de la primera configuración, no debería ser un problema con tanta frecuencia. Esos no son caros con eso Llave NFC Yubi 5 por ejemplo por € 45 y el otro Llave de seguridad Thetis FIDO2 BLE Disponible para la gente menos de € 30 y no debería tener que reemplazarlos durante años, por lo que no es una mala solución.

La alternativa es conservar los códigos de seguridad proporcionados por cada sitio web y servicio en el que utiliza 2FA. Estos pueden imprimirse y guardarse en un lugar seguro, o puede cifrar los archivos de texto y guardarlos en un lugar seguro en una carpeta cifrada y protegida con contraseña o en una unidad flash segura.

Información general

Ya sea que elija una solución 2FA basada en aplicaciones o en hardware, con la gran cantidad de sitios web, servicios y aplicaciones que muchos de nosotros usamos, se puede decir que la configuración es uno de los mayores obstáculos. Fue más fácil para mí hacer de 3 a 5 al día hasta que los había trabajado todos que hacer una sesión de grabación de maratón.

Pero, una vez que haya terminado con el primer proceso, es un paso adicional indoloro que le brinda mucha más seguridad que una sola contraseña o una solución 2FA basada en SMS o correo electrónico. Es posible que sienta el tiempo adicional que le toma ingresar el código de seguridad o guardar la llave de seguridad de vez en cuando, pero se detiene en comparación con el dolor de cabeza de lidiar con robarle a alguien sus credenciales y su vida puede ir al revés mientras intenta recuperar control de sus cuentas.

Con empresas como PayPal, Google y otras empresas que cambian a 2FA como requisito, necesita una solución 2FA. No se conforme con las soluciones basadas en SMS o correo electrónico; son fáciles de pasar por alto. Las aplicaciones de autenticación y las claves de seguridad de hardware ofrecen una sólida seguridad 2FA y, después de este proceso de configuración inicial, se convierten rápidamente en una parte integral de sus hábitos de seguridad en línea.

Publicaciones Similares