Securitywatch: cómo no quedar bloqueado con autenticación de dos factores | max eddy

Las herramientas de seguridad a menudo crean una cierta cantidad de ansiedad. ¿Qué pasa si pierdo mi contraseña? ¿O si mi antivirus elimina mis cosas? El advenimiento de la autenticación de dos factores ha creado un nuevo giro en una ansiedad familiar: ¿qué sucede si no puedo usar mi segundo factor y quedar bloqueado de mi cuenta?

Jeremy de Ciudad del Cabo escribió con algunas preocupaciones sobre 2FA. He editado su carta por brevedad.

Estimado señor, No soy demasiado técnico y quiero un dispositivo de autenticación de dos factores que no tenga complicaciones complicadas al configurar o acceder como se encontró con el Yubikey. Mi mayor temor es bloquearme de mi Gmail.

¿Es mejor comprar dos claves, con una como clave de respaldo?

Sinceramente, Jeremy

En caso de que no haya oído hablar de la autenticación de dos factores, o 2FA, aquí está la esencia: 2FA es una segunda acción que realiza después de ingresar su contraseña para verificar su identidad. La idea es que un atacante pueda tener su contraseña, pero no tendrá su clave de seguridad, aplicación de autenticación o código de SMS. Hay una teoría y práctica completa de 2FA en la que no voy a entrar aquí, pero te animo a habilitar 2FA donde puedas.

Jeremy está en buena compañía en su preocupación por 2FA. Muchas personas con conocimientos técnicos y conscientes de la seguridad que conozco continúan evitando la protección de dos factores porque temen quedar bloqueados y tal vez perder el acceso a sus cosas para siempre. Es una preocupación real y válida.

Lector, me pasó

De hecho, he sido bloqueado de cuentas protegidas 2FA antes. Mas de una vez. En el pasado, una de las primeras compañías en ofrecer autenticación de dos factores fue Blizzard. Los jugadores de World of Warcraft obtuvieron acceso primero, ya que necesitaban proteger su botín ganado con tanto esfuerzo. Puede recordar personas caminando con llaveros WoW que muestran dígitos cambiantes en una pantalla LCD. Posteriormente, Blizzard refinó la experiencia en una aplicación móvil y lanzó 2FA a todos los usuarios de Battle.net.

Siendo la persona paranoica que soy, habilité 2FA en mi cuenta de Blizzard usando la aplicación especial Blizzard Authenticator. Inmediatamente olvidé que había hecho esto, y en los meses siguientes, eliminé la aplicación de mi teléfono y olvidé mi contraseña. Afortunadamente, Blizzard tiene un excelente servicio al cliente. Unos pocos correos electrónicos con su personal jovial me volvieron a conectar en unos pocos días. Sin embargo, todavía era estresante. Estaba tan acostumbrado a poder manejar mis propios restablecimientos de contraseña, y la idea de tener que relacionarme con un ser humano real como parte de ese proceso me pareció muy extraña.

Desde entonces, me he acostumbrado más a la experiencia y he aprendido a ser más inteligente para mantener mi autenticador a salvo. Todavía me las arreglé para salir de Battle.net repetidamente, así como de Steam y otros servicios.

Dependiendo de cómo una empresa configure su oferta 2FA, es posible que tenga que inclinarse hacia atrás para recuperar el control de su cuenta. Por molesto que parezca, en realidad significa que el servicio está funcionando. Deberías saltar muchos aros si no tienes el autenticador. Si fuera fácil para ti, entonces sería fácil para un chico malo.

Multiplica tus factores

Afortunadamente, hay una manera fácil de evitar que 2FA lo bloquee: use múltiples opciones de 2FA. Estos pueden actuar como una copia de seguridad en caso de que no tenga acceso a una opción 2FA diferente. Por ejemplo, uso un YubiKey 5 NFC con mis cuentas de Google, pero también permití tocar en una notificación de verificación en mi teléfono. Si no tengo mi Yubikey, lo uso en su lugar.

Agregar más dispositivos multifactor aumenta el riesgo de que su cuenta pueda verse comprometida. Ahora hay dos formas de ingresar a su cuenta, en lugar de solo una. Creo que las recompensas de no ser bloqueado de su cuenta superan en gran medida el escenario altamente improbable en el que lo asaltan y el delincuente toma su billetera, llaves y llave de seguridad y también le pide que escriba su contraseña.

El paquete de claves de seguridad de Google Titan.

El mejor respaldo para usar más de un dispositivo 2FA proviene de Google, que proporciona dos claves en su paquete Titan Key. Estos fueron creados específicamente para funcionar con el sistema de Protección Avanzada de Google, que requiere que inscriba dos claves de seguridad separadas. Usas uno todos los días y guardas el otro para emergencias. Entonces, para responder directamente a la pregunta de Jeremy: no es una mala idea tener dos claves para su cuenta.

Desafortunadamente, no todos los sitios le permiten inscribir más de una opción multifactor. Si ese es el caso, le recomiendo usar la opción 2FA que considere más confiable para usted.

Construyendo su arsenal de autenticadores

Si opta por comprar varias claves 2FA de hardware, le recomiendo nuestra Clave de seguridad Editors 'Choice de Yubico o el paquete Titan Key de Google. La clave de seguridad de Yubico cuesta solo $ 20 cada una, o $ 36 por dos. El paquete de Google cuesta $ 50 e incluye dos dispositivos: una llave USB y un dongle Bluetooth con batería.

La llave de seguridad de Yubico

Durante años, la forma más común de usar 2FA era enviar códigos únicos a su teléfono por mensaje de texto. Probablemente aún tenga que usar esto con su banco, ya que las instituciones financieras tienden a adoptar nuevas tecnologías más lentamente. Curiosamente, Google aún requiere que habilites los códigos SMS si deseas usar cualquier otro sistema 2FA. A la pregunta de Jeremy, eso significa que cuando inscribas tu nueva clave de seguridad en Google, ya tendrás que habilitar una segunda opción 2FA en forma de códigos SMS.

Otra opción es usar Google Authenticator, o una aplicación similar como el LastPass Authenticator. Estas aplicaciones móviles generan códigos de acceso de seis dígitos cada 30 segundos. Simplemente abra la aplicación, copie el código y listo. Estos son especialmente útiles como una opción 2FA de respaldo, porque la aplicación funciona incluso sin servicio celular o Wi-Fi.

Si todo eso parece preocupante, puede usar mi método preferido: códigos de copia de seguridad físicos. Es posible que haya visto esto al crear cuentas o al inscribirse en 2FA. Es una cuadrícula de varios números que puede usar en lugar de una contraseña y tokens 2FA. Se generan solo una vez, y si los vuelve a generar, los antiguos se descartan. Idealmente, los protegerá en una bóveda de archivos cifrados, o mejor aún, en un pedazo de papel escondido en un lugar seguro.

Cuando creó su programa de Protección avanzada, Google optó por varias claves de hardware porque todas las otras opciones que enumeré anteriormente, incluidos los códigos de respaldo, podrían capturarse con una página de phishing bien hecha. Falsificar una clave de seguridad es mucho más difícil.

• Autenticación de dos factores: quién lo tiene y cómo configurarlo Autenticación de dos factores: quién lo tiene y cómo configurarlo
• ¿Por qué no está utilizando la autenticación de dos factores? ¿Por qué no está utilizando la autenticación de dos factores?
• Google: los ataques de phishing que pueden vencer a dos factores están en aumento Google: los ataques de phishing que pueden vencer a dos factores están en aumento

Tenga en cuenta que no todos los sitios admiten todo tipo de autenticador. LastPass, por ejemplo, le permite usar claves de seguridad, pero solo claves que admiten códigos de acceso únicos. Descubrir qué autenticadores usar es a menudo una función de qué opciones son compatibles.

Sus primeros pasos para la autenticación de dos factores

Dicho esto, recomiendo que cualquier persona nueva en 2FA lo pruebe primero con un sistema distinto de las claves de seguridad. Si no está acostumbrado a tener esa segunda cosa para iniciar sesión, es más probable que se meta con algo tan desconocido como una clave de seguridad. En su lugar, intente usar notificaciones push, códigos enviados por mensaje de texto, Duo o Google Authenticator (o un generador de códigos similar). Estos usan los dispositivos que ya tienes, por lo que no hay costo de entrada. Una vez que esté familiarizado con el funcionamiento de 2FA, y empiece a parecer una segunda naturaleza, puede pensar en ahorrar dinero para obtener una o varias claves de seguridad.

Una característica de seguridad solo es valiosa si realmente la usa. Entonces habilite 2FA, pero dése permiso para jugar con él y encontrar un método que funcione para usted.