La autenticación de dos factores se puede aplicar usando sólo software (p.e Authy) o usando periféricos físicos, que es la opción que nos va a proporcionar el tope de seguridad (son prácticamente inhackeables). Los precios de éstos dispositivos rondan entre 20 y 50€.
Las apps de 2FA son perfectamente viables siempre y cuando sepamos lo que hacemos. Es decir, habiendo hecho el backup pertinente (una serie de códigos en un papel) y teniéndolo en un sitio seguro. Ya que las apps de 2FA no nos van a proporcionar otra opción para recuperar nuestros tokens, y si lo hacen, desconfiad porque significaría que ellos tienen acceso y también el hacker que los va a hackear en un futuro...
Authy, por ejemplo, da la opción de hacer backup en sus servidores cifrando la información con una contraseña que vosotros teneis que proporcionar (+telefono). Pero volvemos a las mismas, teneis que hacer backup del password del backup, o usar una contraseña sencilla memorizándola y arriesgaros a que os la crackeen (ya sea la propia Authy o algun otro actor malicioso). Ese riesgo ya lo calculáis vosotros mismos si vale la pena o no correr, y si confiáis en el buen hacer de esa compañia. Para ahondar más sobre el tema de aplicaciones 2FA, aquí tenéis un post de @AikonCWD.
Ese paso de backup hace que muchos no quieran tener esa responsabilidad y provoca el temor de perder completamente el acceso a nuestras cuentas por lo que se opta a otras soluciones: periféricos generadores de tokens. Existen diferentes tipos de hardware pero nos vamos a centrar en los que se usan para el usuario medio, que son las Security Keys.
Qué son?
Son chips en forma de pendrive (USB) que han sido diseñados para un único propósito, que es el de autenticar contra aplicaciones/sitios web. Es un buen mecanismo de seguridad ya que vienen a representarnos: es algo único (criptográficamente) que poseemos solo nosotros y que solo funciona con nuestra interacción.
Dónde puedo usarlo?
- En cualquier aplicación web que lo permita.
- En aplicaciones de gestores de contraseñas (lo recomiendo!).
- En nuestro login del ordenador.
Cómo se usan?
El primer paso es registrar la llave en el sitio web que queremos securizar, que no es otra cosa que conectar la llave al ordenador cuando nos lo pidan.
El proceso de login es el mismo, después del paso de introducir user/password, se nos pedirá conectar la llave y listo.
Existen variantes contactless (interfaz NFC), con lo que se pueden usar con smartphones incluso.
Fabricantes
Yubico
Compañía sueca asentada desde hace una década, es de las más populares. Las llamadas YubiKeys son ampliamente usadas por distintos tipos de organismos, entre ellos, el Departamento de Defensa de USA. Todos sus modelos son compatibles con el estándar UF2
Entre sus muchos modelos, recomiendo la YubiKey Security Key NFC (la azul).
Tienen tienda en Barcelona .
Nitrokey
Fabricante alemán que les honra por hacer sus productos completametne open source.
Sus llaves son más baratas que las YubiKeys pero también más limitadas (sin NFC).
Onlykey
Estadounidenses. También son open source pero diría que más avanzadas que Nitrokey (puede ser usada como gestor de contraseñas).
Hardware Wallets
Las hardware wallets de criptomonedas (p.e Trezor, Ledger) suelen integrar también la funcionalidad de 2FA. Es posible que prefiráis éstas si queréis un 2x1.
Recomendaciones
- Sea cual sea el modelo que elijáis, aseguraros de que use el estandar U2F para máxima compatibilidad.
- Es sumamente importante tener al menos 2 security keys, y tener las dos registradas en la app/sitio web. Porque en caso de accidente, tenéis otra como backup. No hace falta ni que sean de la misma marca. Una la lleváis con vosotros en el llavero, y la otra la guardáis en vuestra casa o la de algún familiar. En caso de robo, si el que os ha robado no conoce donde la usáis ni vuestras credenciales, no le va a servir de nada. Igualmente, entráis en vuestra cuenta con la llave backup y elimináis la otra del registro.
- Usar las llaves como único método de 2FA con vuestro gestor de contraseñas. Es el mejor combo. El gestor de contraseñas es vuestro punto crítico y lo tenéis que proteger bien. Si usáis las llaves como 2FA y ningún otro método, no dais opción a que os hackeen por ninguna otra vía.
Bonus
Regalo una YubiKey Security Key NFC a quien más la necesite (explicanos si te han hackeado algo importante alguna vez y si lo has pasado mal o algo).
La tengo sin abrir, iba a ser devuelta a Amazon (compré otro modelo, Yubikey 5) pero el transportista nunca vino a recogerla asi que...
Regalada a @3nT3rraDoR
