Cada día utilizamos muchas cuentas de diverso tipo para trabajar, reuniones o relacionarnos con los demás. Los cibercriminales están al acecho buscando vulnerabilidades en los sistemas para conseguir nuestras contraseñas. Sin embargo, las empresas y organizaciones buscan soluciones para ponérselo lo más difícil posible. Ahora le ha llegado el turno al popular programa para hacer reuniones y videollamadas, hoy os vamos a explicar cómo mejorar la seguridad de Zoom configurando esta autenticación en dos factores.
Las videollamadas son actualmente una de las formas de comunicación más utilizadas en entornos empresariales. Como el teletrabajo está más presente que nunca, las empresas se han visto en la necesidad de disponer de un sistema que permitiera el acceso a la llamada a mucha gente. Y es aquí donde Zoom hace acto de presencia, y nos permite adaptar la videollamada a las necesidades de una empresa.
Ventajas de activar la autenticación en dos factores de Zoom
La autenticación en dos factores de Zoom va a facilitar que los administradores y las organizaciones protejan a sus usuarios, evitando las violaciones de seguridad, o al menos, poniéndoselo bastante más difícil a los ciberdelincuentes. Gracias a la autenticación en dos factores (2FA), podremos hacer que el proceso de identificar a los usuarios en línea, se les pueda exigir que presenten dos o más pruebas que acrediten la propiedad de la cuenta.
De esta forma, obtenemos una seguridad mejorada en la que las organizaciones pueden reducir el riesgo de robo de identidad y violaciones de seguridad. Esa capa adicional de seguridad, evita que los ciberdelincuentes accedan a las cuentas, averiguando contraseñas u obteniendo acceso a los equipos de los empleados o estudiantes. También ayuda a las organizaciones y empresas a cumplir con las obligaciones de mantener a salvo los datos confidenciales y la información del cliente.
Además, nos ofrecen unos costes reducidos, ya que a las pequeñas empresas y colegios les puede resultar caro pagar por un servicio SSO. Sin embargo, si se opta por Zoom, se proporciona a los usuarios un entorno seguro a la par que eficaz. Para finalizar con este apartado, nos aporta una gestión de credenciales más sencilla, que evita a los usuarios la gestión continua de contraseñas.
Cómo funciona 2FA en Zoom
La autenticación de dos factores (2FA) es un proceso de inicio de sesión que consta de dos pasos:
- Inicio de sesión principal en la cuenta de Zoom, usuario y contraseña.
- Requiere un código que solo se puede utilizar una sola vez, y la próxima vez que entremos será diferente.
Esto proporciona una capa extra de seguridad, ya que los usuarios necesitarán acceso a su teléfono para iniciar sesión en el portal web de Zoom, el cliente de escritorio, y la aplicación móvil. Aquí tenéis un esquema de cómo se trabaja en Zoom activando la autenticación en dos factores:
En primer lugar, entraríamos a nuestra cuenta de Zoom introduciendo el correo electrónico y contraseña. El segundo paso sería coger nuestro smartphone, e introducir ese código de verificación de un solo uso. En este sentido, hay que comentar que tenemos dos opciones para recibir el código (mediante aplicaciones TOTP o mediante SMS). El tercer y último paso, sería entrar en la reunión de Zoom, una vez que hemos entrado correctamente a nuestra cuenta e introducido el código que nos enviaron.
En cuanto a Zoom, envía un código de verificación de seis dígitos de un solo uso mediante SMS, sin embargo, si tenemos un smartphone Android o iOS con aplicaciones que admitan el protocolo de contraseña única basada en el tiempo (TOTP) tenemos más opciones. En ese sentido tenemos tres apps muy recomendables:
Una es Google Authenticator que podréis descargar de aquí:
La otra es Microsoft Authenticator que podremos descargar para Windows o para dispositivos móviles.
Por último, tenemos FreeOTP y también Latch que son dos aplicaciones muy recomendables:
Cómo activar la autenticación en dos factores en Zoom
Los propietarios y administradores de cuentas de Zoom, deben habilitar la opción «Iniciar sesión con autenticación de dos factores» en el menú Avanzado, Seguridad, dentro del panel de control de Zoom. El proceso concreto para que el administrador de cuentas habilite la 2FA de Zoom es el siguiente:
- Iniciamos la sesión en Zoom Dashboard.
- Vamos al menú de navegación, hacemos clic en «Avanzado» y luego damos en «Seguridad».
- Allí, tenemos que mirar que la opción «Iniciar sesión con autenticación de dos factores» esté activada.
- Luego tenemos que seleccionar a qué tipo de usuarios vamos a proporcionar la autenticación en dos pasos. Podría ser para todos los usuarios en la cuenta, para los usuarios con roles específicos o para usuarios que pertenecen a grupos específicos.
- Para terminar, damos a Guardar.
Cifrado de Zoom
Como puedes ver, la autenticación en dos factores es muy importante para mantener la seguridad de nuestra cuenta de Zoom. Pero lo cierto es que esta herramienta, tiene otros sistemas de protección a modo de cifrado. Si bien no tienen que ver con el acceso a la aplicación, si lo hacen para que la seguridad no sea solo cosa del acceso. Sino que durante todo el tiempo que pasamos dándole uso, tengamos la seguridad de que nuestras comunicaciones se encuentran totalmente protegidas.
En primer lugar, está el cifrado de transporte. Inicialmente, Zoom daba uno del cifrado AES-256 para cifrar el contenido de las reuniones que se transmitían en la nube. En cambio. El modo ECB (Electronic Codebook), fue un poco criticado por no ser el más seguro. Después de eso, decidieron dar uso del mismo tipo de cifrado, pero en modo GCM (Galois/Counter Mode). El cual resulta mucho más seguro, y recomendado para el cifrado simétrico.
También da uso del cifrado End-to-End para las reuniones, y lo hace a modo de respuesta sobre las preocupaciones en cuanto a la privacidad y seguridad. Por lo cual todos los participantes de la reunión, tienen las claves de cifrado que son necesarias para poder cifrar el contenido de la reunión. Estas no se comparten con los servidores de Zoom, por lo cual, si alguna entidad incluida Zoom decide interceptar la comunicación, no podrán descifrar y acceder al contenido de la misma. Pero para fortalecer aún más el enfoque de seguridad y cifrado, Zoom adquirió Keybase. La cual es una plataforma de seguridad y cifrado. Esta adquisición tenía como objetivo mejorar las capacidades de cifrado de Zoom, proporcionando una experiencia de cifrado E2E. Por último, también cuentan con un cifrado para las grabaciones, transcripciones y otros archivos relacionados. Por lo cual todo está totalmente seguro por parte de la compañía.
Por último, aquí tenéis este documento de soporte sobre la autenticación en dos factores de Zoom. Allí se puede ver cómo restablecer 2FA y más información.
¿Se puede vulnerar la autenticación en dos pasos?
Bien es cierto que la autenticación en dos factores de Zoom y otras aplicaciones, supone una capa de seguridad muy efectiva, pero no es 100% invulnerable. Ningún sistema de protección lo es. pero el 2FA es cierto que lo pone más complicado a los cibercriminales. Y precisamente por eso lo recomendamos constantemente.
Si hablamos de vulnerar el 2FA, uno de los métodos principales es phishing avanzado. Lo que hacen los atacantes es crear páginas web falsas idénticas a la de Zoom, engañando así al usuario para que introduzca tanto su contraseña como el código 2FA en el momento. Hay kits de phishing modernos que interceptan la sesión completa, con las cookies de autenticación, lo que puede permitir al atacante acceder sin necesidad de volver a introducir el código. Como casi siempre, este tipo de ataque depende casi siempre del error humano.
Otro método, para vulnerar esta seguridad, es un método del que os hemos hablado en otras ocasiones, como es el SIM swapping. En este caso, el atacante convence al operador móvil (con diferentes métodos) para transferir el número de teléfono de la víctima a una nueva tarjeta SIM bajo su control. Es la mejor forma para que pueda recibir los códigos enviados por Zoom vía mensaje de texto. También hay que destacar que este riesgos practicamente desaparece si se elige una aplicación TOTP como Google Authenticator, Microsoft Authenticator o Authy.
En ataques más sofisticados, los atacantes combinan ingeniería social con herramientas automatizadas. Pero en general, el sistema sigue siendo muy seguro, sobre todo con apps autenticadoras y códigos de recuperación bien guardados. La ventaja de Zoom además, es que ofrece opciones como códigos de respaldo de un solo uso para emergencias, por ejemplo si perdemos el móvil, con lo cual es otra barrera más de seguridad.