Hoy en día casi todas las personas alguna vez y debido al robo de bases de datos, han intentado robarnos alguna cuenta de algún servicio como el correo electrónico, acceso alguna web, acceso a plataformas de videojuegos tipo Steam, redes sociales, servicios de streaming de video y otros. Por suerte hoy en día existen métodos para intentar mitigar que alguien entre en nuestros servicios online, hoy en RedesZone vamos a ver la autenticación en dos pasos.
Como hemos mencionado el uso de contraseñas no es suficiente para proteger nuestras cuentas. Es cierto que evidentemente es algo prioritario y que debemos aplicar. Es muy importante utilizar una clave que sea realmente fuerte y segura, sin embargo también es necesario usar, siempre que sea posible, la autenticación en dos pasos.
¿Qué es la autenticación y para qué sirve?
La autenticación es el método que se utiliza en el mundo de la informática para identificarnos frente a un sistema informático. Existen diferentes formas de autenticación hoy en día, como, por ejemplo, el uso de un usuario y contraseña, la utilización de tarjetas de acceso e incluso la identificación biométrica a través de nuestra huella, geometría de la mano o escáner de iris entre otras muchas. La autenticación es el primer paso para utilizar un sistema informático, y es fundamental que esta autenticación sea lo suficientemente robusta como para que nadie pueda hacerse pasar por nosotros. En el caso de que alguien pueda hacerse pasar por nosotros, estaremos en un grave problema debido a que de alguna forma ha capturado nuestras credenciales de usuario.
La autenticación no debemos confundirla con la autorización, nosotros podemos autenticarnos en un sistema informático, pero no tener la autorización para realizar ciertas acciones. Es muy importante saber que la autorización va después de la autenticación, primero debemos autenticarnos frente a un sistema informático, y posteriormente nos autorizará a realizar ciertas acciones o no.
Implicaciones de la autenticación en dos pasos
Este proceso de autenticación 2FA, es un proceso de seguridad que requiere que los usuarios, proporcionen dos formas diferentes para autenticarse. Esto es algo que es obligatorio, y sin el cual no va a ser posible acceder dentro de una cuenta de usuario. Esto tiene algunas implicaciones, las cuales hacen de este formato algo muy importante a día de hoy. Y por otro lado, muy necesario en todos los servicios que sea posible aplicarlo.
- Mayor seguridad: La autenticación en dos pasos es una nueva capa de seguridad que hace que sea más complicado para los atacantes, el realizar un ataque de acceso no autorizado a una de nuestras cuentas. La probabilidad de que sea posible descubrir no solo la contraseña, sino el código al mismo tiempo, es muy baja. Por lo cual se trata de un método que es muy efectivo.
- Reducción de riesgos: Esto reduce el riesgo de acceso no autorizado, y así ayuda a proteger los datos que una cuenta de usuario puede contener. Si la contraseña es descubierta o robada, los atacantes no podrán hacer nada sin el código de la doble autenticación.
- Inconvenientes: Sin duda la autenticación en dos pasos, hace del logueo algo mucho más lento, y en algunas ocasiones engorroso. Incluso tratándose de un problema menor en pro de la seguridad, muchos usuarios lo pueden llegar a encontrar frustrante.
- Pérdidas de acceso: Si perdemos el dispositivo o la forma en la cual recibidnos el código de acceso, puede ser complicado recuperar el acceso a la cuenta. Esto depende mucho de cuales sean los procesos con los que cuenta la empresa. En muchos casos, las empresas nos dejan solicitar un cambio de número, por ejemplo, pero con unos periodos de cambio bastante largos. Los cuales pueden rondar el mes.
- Costes adicionales: Este tipo de sistemas de doble autenticación, son servicios que pueden resultar costosos, lo cual puede ser un factor determinante para una empresa. Pero lo cierto es que sigue siendo necesario implementarlo, para así poder aumentar la seguridad del sistema.
Qué es el secuestro de 2FA y cómo evitarlo
Después de lo que hemos explicado brevemente sobre qué es la autenticación en dos pasos y cómo funciona podemos tener una idea de qué es el secuestro de 2FA. Básicamente consiste en robar de alguna manera ese código o saltarse ese paso para iniciar sesión. Es algo que pone en riesgo nuestra seguridad y privacidad. Hay varios casos que podemos mencionar. Uno de ellos, el más habitual, es el secuestro de 2FA cuando recibimos el código por SMS. Esto significa que vamos a tener un malware en nuestro dispositivo capaz de robar ese código que hemos recibido por un mensaje. Así podrá enviarlo directamente a algún servidor controlado por los piratas informáticos.
También puede ocurrir que haya algún tipo de malware en nuestro equipo capaz de interferir en las aplicaciones que actúan como 2FA. Ya sabemos que podemos recibir el código por SMS o hacer uso de alguna aplicación de terceros que pueda proporcionarnos ese segundo paso.
Muchos de estos programas maliciosos que mencionamos suelen funcionar debido a vulnerabilidades que encuentra en el sistema. Esto es algo que podemos corregir y de esta forma no comprometer nuestra privacidad y seguridad.
Algo básico que debemos tener presente es siempre hacer uso de herramientas de seguridad. Un buen antivirus puede evitar la entrada de malware que ponga en riesgo nuestros dispositivos. Esto es algo que debemos aplicar sin importar el sistema operativo que estemos utilizando. También es muy importante contar siempre con las últimas versiones. Hemos mencionado que muchos tipos de malware se aprovechan de fallos de seguridad que haya presentes en esos dispositivos. Por ello debemos instalar siempre los últimos parches y actualizaciones de seguridad que tengamos disponibles.
De esta forma vamos a evitar problemas que puedan aprovecharse de las posibles vulnerabilidades y fallos que pueda haber. Es importante que mantengamos el sistema siempre limpio y que no haya malware ni ningún tipo de amenazas. Por otra parte, el sentido común también es muy importante. En muchas ocasiones el malware va a requerir que cometamos algún error. Por ejemplo puede ser acceder a un enlace fraudulento o descargar un archivo que en realidad sea un malware. Es esencial que tengamos siempre presente el sentido común.
El método utilizado por ciberdelincuentes
Es importante tener claro cómo funciona el secuestro de 2FA, ya que, toda información en este sentido, es la mejor forma de evitar sorpresas no deseadas. Se trata de robar de alguna manera ese código o saltarse ese paso para iniciar sesión.
Es algo que pone en riesgo nuestra seguridad y privacidad. Uno de ellos, el más habitual, es el secuestro de 2FA cuando recibimos el código por SMS. Suele ocurrir cuando hay un malware presente que es capaz de robar ese código que hemos recibido por un mensaje. El objetivo final es enviarlo a un servidor controlado por los piratas informáticos.
SIM Swapping, una amenaza muy temida
Precisamente, una de las amenazas más temidas y de la que os hemos hablado en otras ocasiones, es el SIM Swapping, o intercambio fraudulento de tarjeta SIM. La práctica consiste en que los ciberdelincuentes suplanten la identidad de la víctima ante su operador telefónico para obtener un duplicado de la tarjeta SIM asociada a su número móvil. Es decir, que una vez logrado, el atacante redirige todas las llamadas y mensajes de texto (SMS) del usuario legítimo hacia su propio dispositivo, lo cual le permite interceptar los códigos de verificación enviados por SMS para la autenticación en dos pasos.
INCIBE advierte que el SIM Swapping ha aumentado en los últimos años, precisamente alimentado por la proliferación de servicios que aún usan SMS como segundo factor. Lo ideal para evitarlo, siempre que esté de nuestra mano, es usar aplicaciones autenticadoras en lugar de SMS para evitar el secuestro de 2FA. Y para que el malware no campe a sus anchas, antes de todo lo anterior, lo más recomendable es contar con un buen antivirus puede evitar la entrada de malware que ponga en riesgo nuestros dispositivos, ya sea el móvil o el PC.
Métodos de autenticación
Hoy en día existen diferentes métodos de autenticación que son ampliamente usados por todos nosotros, ya sea en el ordenador, en el smartphone e incluso para pasar a nuestro trabajo presencial en una oficina. Los métodos de autenticación que disponemos hoy en día lo podemos dividir en tres grupos bien diferenciados:
Algo que tenemos físicamente
Es una forma de autenticación muy segura, siempre y cuando nunca las perdamos porque es algo que tenemos físicamente. Un ejemplo de método de autenticación de «algo que tenemos» son las tarjetas magnéticas, tarjetas inteligentes e incluso las llaves USB para la autenticación. Nosotros simplemente tenemos que pasarlas por un lector y automáticamente nos dará acceso al sistema, ya que nos habremos autenticado de forma correcta en el sistema.
La principal ventaja de este sistema de autenticación es que es de bajo coste, las tarjetas y las llaves USB no son muy caras. El índice de seguridad que ofrecen es muy elevado, así como la rapidez en autenticarnos ya que dependemos de un lector o puerto USB. Sin embargo, los principales problemas vienen porque al ser objetos físicos, se podrían perder, además, es posible que algunas tarjetas magnéticas se puedan clonar, por lo que se podrían hacer pasar por nosotros en cualquier momento, algo verdaderamente preocupante.
Algo que sabemos
Es la forma de autenticación más utilizada a nivel mundial, son las contraseñas. Este método de autenticación nos permite aprendernos una contraseña y teclearla para acceder a un sistema informático, servidor, ordenador o cualquier otro dispositivo. Es muy importante utilizar contraseñas robustas para tener la mejor seguridad posible, en estos casos donde tengamos las contraseñas como método de autenticación, es muy importante que tengan:
- Longitud de más de 12 caracteres.
- Combinación de mayúsculas, minúsculas, símbolos y números.
A ser posible, si nos estamos autenticando en servicios web, es muy recomendable utilizar un gestor de contraseñas o un administrador de contraseñas, para mantenerlas todas a salvo en una «caja fuerte» y que nadie pueda acceder a ellas. Es de vital importancia mantener todas nuestras contraseñas a salvo.
Respecto a las ventajas del uso de las contraseñas, su ventaja radica en la facilidad que tiene de crearse y gestionarse a través de gestores de claves, además, son completamente gratuitas y no necesitamos llevar nada físico encima. No obstante, su gran inconveniente es que podemos desvelarla sin darnos cuenta, podemos sufrir una filtración de todas nuestras contraseñas e incluso que nos la hackeen probando múltiples combinaciones.
Algo que somos
En este apartado la biometría es la clave, en nuestro cuerpo humano tenemos diferentes «llaves» que podemos usar para autenticarse, por ejemplo, los ojos, las huellas, la voz, tu cara, la firma o la escritura. Sin embargo, estos sistemas que por ejemplo se están poniendo cada vez más de moda en los teléfonos móviles, presentan muchos inconvenientes como que actualmente son caros de implementar, a veces fallan mucho y después está el tema de la privacidad, ya que para que funcione tiene que estar almacenados en alguna base de datos nuestros biométricos que nos hacen únicos y diferentes. Normalmente los fabricantes almacenan los datos biométricos en el propio terminal, no los «sube» a la nube automáticamente.
Cuando estamos usando la biometría, debemos saber que existen dos términos muy importantes a los que debemos hacer frente: la tasa de insulto y la tasa de fraude. La tasa de insulto es cuando nos autenticamos en un sistema y éste nos indica que realmente no somos nosotros. La tasa de fraude es cuando alguien se autentica en el sistema haciéndose pasar por nosotros. Cuanto mayor es la tasa de insulto (más sensible la biometría) menor es la tasa de fraude y más seguridad nos proporciona, sin embargo, disminuir esta tasa de insulto significa aumentar la tasa de fraude. Por lo tanto, cualquier sistema biométrico debe ser capaz de realizar un buen balance entre tasa de insulto y tasa de fraude.
Una vez vistos los diferentes métodos de autenticación que podemos encontrarnos queda claro que ningún sistema es completamente seguro al 100% por eso cada vez más se usan autenticaciones en dos pasos.
Autenticación en dos pasos
La autenticación en dos pasos es combinar dos métodos de autenticación de índole diferente, es decir, combinar el «algo que sabemos» con el «algo que tenemos«. También podemos combinar «algo que somos«, con «algo que tenemos«. En nuestro día a día, cuando accedes por ejemplo al correo electrónico, redes sociales u otros servicios, tenemos que usar un método de verificación que está basado en «algo que sabes», es decir, la contraseña de acceso al servicio en cuestión.
La gran mayoría de servicios online como Google, Microsoft, Facebook, Twitter, Instagram y muchísimos otros, utilizan la autenticación en dos pasos, para utilizar la contraseña (algo que sabemos), y también un código que recibimos por SMS o que generamos con nuestro smartphone (algo que tenemos). Por ejemplo, en los foros de ADSLZone tenemos la posibilidad de activar la autenticación en dos pasos utilizando un código generado por una app autenticadora. En algunos casos, esta autenticación en dos pasos se basa en una llamada de teléfono, y en otros, se basa en que, si ya tenemos un dispositivo sincronizado con un servicio como iCloud, automáticamente nos envía a otros dispositivos un aviso para permitir ese inicio de sesión. Si no tenemos a mano otro dispositivo para aprobar el inicio de sesión, entonces nos envía un SMS con un código, y si tampoco tenemos a mano nuestro móvil, entonces ya nos salta opciones de recuperación.
Como podemos ver, en principio los sistemas de autenticación y verificación parecen muy seguros al requerir dos pasos, por lo que es muy recomendado tenerlo activo. Pero, sin embargo, también puede ser inseguro si se hacen con ambos sistemas de verificación. Los puntos débiles de la autenticación en dos pasos podría ser la localización del segundo dispositivo, en caso de tener un segundo factor por SMS o llamada, si nuestro móvil no tiene cobertura no recibirá el código, por este motivo (y también porque usar SMS no es seguro) es recomendable utilizar apps generadoras de códigos en el smartphone.
Guarda los códigos de recuperación
A la hora de habilitar este tipo de método de seguridad en cualquier servicio que consideres, hay que tener en cuenta que el sistema te dará un conjunto de códigos de recuperación de un solo uso. Un código que se convierte en el seguro de tu vida digital. ¿Por qué son tan importantes? Si pierdes el smartphone o se rompe, estos son los únicos códigos con los que podrás recuperar el acceso a tu cuenta o servicios.
La clave está en imprimirlos. Guardar una copia física en un lugar seguro puede ser la solución alternativa que te vendrá bien tener en cualquier momento. También puedes guárdarlos en un gestor de contraseñas. Hay gestores muy conocidos, pero lo vital es que uses uno de gran confianza entre usuarios. Y, por último, nunca se deben guardar sin ningún tipo de cifrado, ya sea en tu ordenador o en otro dispositivo. Por ejemplo, tampoco es inteligente llegar a hacer una captura de pantalla de estos códigos, puesto que no tiene ningún tipo de seguridad.
Aplicaciones autenticadoras para Android y iOS
Las siguientes aplicaciones autenticadoras nos permitirán generar códigos temporales para los diferentes servicios. Algunas aplicaciones están disponibles para Android y también para iOS. Lo principal que debes saber de estas aplicaciones, es que en algunos casos el «token» se almacena localmente, y, por tanto, si restauras el móvil a valores de fábrica lo perderás, y tendrás que reactivar la autenticación en todos los servicios uno a uno, y esto hace que los servicios TOTP con almacenamiento en Cloud sean muy recomendables, ya que los «token» se subirán a la nube del servicio para que con tan solo iniciar sesión, ya tengamos acceso a nuestro segundo factor de autenticación.
No es recomendable utilizar autenticación en dos pasos basadas en SMS, ya que no se considera un método seguro. Es recomendable utilizar app autenticadoras que generen los códigos temporales.
Google Authenticator
Otra de las herramientas más populares para utilizar 2FA es Google Authenticator. Más allá de ser compatible lógicamente con los servicios de Google, también lo es con prácticamente cualquier plataforma que utilice autenticación de factor múltiple. Podemos utilizar Google Authenticator en Android y también iOS. Como cualquier aplicación de este tipo, su misión es autenticarnos a la hora de iniciar sesión en Amazon, Hotmail, Gmail… En cualquier servicio compatible.
Lo que hace es mostrarnos un código de 6 dígitos que va cambiando cada medio minuto. Ese código lo tenemos que poner cuando vayamos a iniciar sesión y, junto a la contraseña, va a permitir que nos identifiquemos y evitemos que cualquier intruso pueda entrar en la cuenta. Es muy útil para poder identificarnos en un dispositivo nuevo y verificar que realmente somos el usuario legítimo. Una vez hemos iniciado sesión ya alguna vez en ese equipo, no volverá a pedir más esta doble autenticación puesto que ya lo reconoce.
Esta aplicación es la más utilizada en todo el mundo debido a su facilidad de uso, además, han incorporado sincronización de los tokens en la nube en nuestra cuenta de Google, así que es una gran opción para mantener la seguridad. No obstante, esta sincronización en la nube es totalmente opcional.
Authy
Una de las aplicaciones de 2FA más populares y utilizadas es Authy. Cuenta con una buena interfaz de usuario, sincronización entre dispositivos y es una de las más valoradas por los usuarios. Está disponible para iOS y Android, además de sistemas operativos de escritorio como macOS, Windows y Linux. Para utilizar Authy tenemos que ir a su página web oficial. Allí encontraremos la sección de descargas y también información sobre los servicios con los que es compatible.
Uno de los aspectos más interesantes es que permiten realizar una copia de seguridad y almacenarla en su nube. Permite crear una contraseña que solo el usuario sabe para poder acceder a esa copia. Eso sí, en caso de olvidarla no podríamos recuperarla.
LastPass Authenticator
Esta app nos permite almacenar el token TOTP en nuestro terminal, pero tenemos sincronización Cloud de manera opcional, por lo que si restauramos nuestro móvil perderemos el acceso a los diferentes servicios, y tendremos que volver a reactivarlo.
Esta aplicación es realmente interesante porque tiene lo mejor de Google Authenticator (almacenamiento local) y también lo mejor de Latch y Authy si es que queremos almacenar los datos en la nube de la empresa.
Microsoft Authenticator
Una alternativa más es la de Microsoft Authenticator. No podía faltar este tipo de programas para el gigante del software. Está disponible también tanto para Android como para iOS y podemos descargar el programa desde su página oficial.
Es también muy utilizada y cuenta con gran compatibilidad con la mayoría de servicios online que utilizan 2FA, más allá de los propios de Microsoft. Va a mostrar un código que debemos poner cuando vayamos a iniciar sesión y el programa se encarga de autenticarnos y verificar que somos el usuario legítimo.
Zoho OneAuth
Zoho cuenta con una gran cantidad de servicios online y para la nube. Uno de ellos es OneAuth, que permite autenticarnos a la hora de iniciar sesión en diferentes plataformas compatibles y poder así verificar que somos el usuario legítimo. Un programa más a la lista para poder aumentar la seguridad y evitar problemas en nuestras cuentas.
Podemos entrar en su página web y ver que cuenta con versión para Android y para iOS. Lo podemos instalar en diferentes dispositivos al mismo tiempo y elegir que uno de ellos sea el principal. Como en los casos anteriores, va a permitir que agreguemos un paso adicional para evitar así que un posible intruso llegue a iniciar sesión en algún servicio simplemente con haber averiguado la contraseña.
WinOTP Authenticator
WinOTP Authenticator es un programa para Windows que nos permite crear claves de doble autenticación. Esto es algo que cada vez más plataformas lo aceptan. Con esto logramos poner una capa extra de seguridad a nuestras contraseñas. Pongamos que un intruso ha logrado averiguar nuestra clave de acceso a un servicio, red social o cualquier página o aplicación en la red. Gracias a utilizar doble factor de autenticación esa persona necesitaría un segundo paso para acceder a nuestras cuentas.
Utilizar WinOTP Authenticator es muy sencillo. Lo primero que tenemos que hacer es descargarlo de la tienda de Microsoft. Es totalmente gratuito y como siempre decimos recomendamos descargar todo tipo de herramientas siempre de sitios oficiales y de garantías. De esta forma evitamos introducir software que haya sido modificado de forma maliciosa.
Una vez lo tengamos instalado ya podremos ejecutarlo. Veremos que de primera no nos mostrará nada y tenemos que agregar una cuenta a la aplicación. Para ello pinchamos el botón “+” que aparece abajo a la derecha en la pantalla. Tendremos que introducir los datos que nos piden, como el nombre del servicio (Microsoft por ejemplo), nuestro usuario, así como el código que nos proporcione el servicio que usemos. Es similar a como lo usaríamos en otras aplicaciones. Le damos a Guardar.
Una diferencia que quizás podremos comprobar frente a otras herramientas similares es que no aparece un círculo de tiempo para refrescar los códigos, sino que muestra una barra horizontal arriba. Simplemente es ese cambio, ya que actúa igual. También tendremos la posibilidad de reorganizar las cuentas que hemos agregado o incluso eliminarlas si en algún momento no nos interesa. Eso sí, si hacemos esto tendremos que configurar correctamente el servicio y evitar problemas a la hora de iniciar sesión.
En definitiva, WinOTP es una interesante herramienta de código abierto con la que podemos gestionar nuestros códigos 2FA. Para aquellos que quieran tener un programa de este tipo en su ordenador es una buena opción.
Hasta aquí hemos llegado con este completo artículo donde os explicamos qué es la autenticación en dos pasos, y qué aplicaciones autenticadoras son las más recomendables para usar con Android y iOS.