Son muchos los casos de fotos robadas de dispositivos móviles de famosos que hemos conocido en los últimos tiempos. Este hecho ha provocado que la gente esté al tanto de que el nombre de sus mascotas no es una contraseña lo suficientemente segura y que la verificación en dos pasos ya no es de uso exclusivo de fanáticos de la informática. Giztab.com
Las fotos que se filtraron desde el servicio de iCloud de Apple causando un gran revuelo el año pasado, eran copias almacenadas de imágenes hechas con dispositivos Apple. Loshackers emplearon una de las técnicas más sencillas para introducirse en el sistema, usando una combinación de phishing y fuerza bruta. Para compensar el fallo y proteger a sus usuarios, Apple activó en iCloud la verificación en dos pasos (o 2FA) e instó a sus usuarios a utilizarla en todo momento.
Gracias a Kaspersky Lab podemos hacerte llegar estos 5 consejos que puedes seguir para evitar que se filtren sus fotos personales.
Dos candados mejor que uno
La mayoría de los usuarios piensa en la verificación en dos pasos como en el sistema de envío de contraseñas de un solo uso en los mensajes de texto. Es el método más destacado de 2FA para servicios web; sin embargo, no es el único.
En general, la 2FA es como una puerta con dos candados; uno de ellos es la combinación tradicional de registro y contraseña; y el segundo, podría ser algo diferente. Si el usuario duda de que dos candados sean suficientes, puede utilizar tantos como quiera, aunque alargaría el proceso de apertura de la puerta, por lo que está bien usar dos.
Las contraseñas enviadas por SMS son una forma comprensible y relativamente segura de verificación, aunque no siempre es práctica. En primer lugar, cada vez que quieras acceder a un servicio tienes que tener a mano el móvil, esperar a que te llegue el SMS e introducir los dígitos que aparecen; si te equivocas o introduces el código muy tarde, tienes que repetir de nuevo el mismo procedimiento; y si, por ejemplo, la red del usuario está colapsada, el SMS puede llegar demasiado tarde.
Identificación mediante un smartphone
Si el usuario viaja frecuentemente, la forma más inteligente de activar la 2FA podría ser mediante una app especial. Al contrario que los SMS, este método de autenticación funciona sin conexión a Internet. Las contraseñas de un solo uso se generan en el smartphone, no en un servidor; sin embargo, la instalación inicial sí requerirá conexión a la red.
Hay un gran número de aplicaciones de autenticación, pero Google Authenticator sin duda puede servir como estándar de la industria. Este programa respalda otros servicios además de Gmail, como Facebook, Tumblr, Dropbox, vk.com y WordPress, entre otras. Si el usuario prefiere una aplicación con paquete de características, también está disponible Twilio Authy; es similar a Google Authenticator pero añade un par de opciones útiles.
En primer lugar, te permite almacenar los certificados en la nube y copiarlos en otros dispositivos (smartphones, PCs, tablets and y muchas otras plataformas, incluyendo Apple Watch). Incluso, en caso de que te roben un dispositivo, todavía tienes control de tus cuentas.
La app solicita un número PIN cada vez que la ejecutas, y la contraseña puede anularse si tu dispositivo se ha visto comprometido. En segundo lugar, Twilio Authy, al contrario que Google Authenticator, te facilita mucho las cosas al empezar a usar un nuevo dispositivo.
Tokens de seguridad
Las soluciones anteriores tienen una pega importante. Si usas el mismo dispositivo para acceder a tus cuentas y para recibir SMS con contraseñas de un solo uso o implementar una aplicación que genere claves de 2FA, esta protección no resulta demasiado segura.
Los tokens de seguridad ofrecen un nivel mayor de protección. Su formato y forma varían y pueden ser tokens USB, tarjetas inteligentes, tokens offline con un monitor digital, pero el principio es, en esencia, el mismo. En resumidas cuentas, se trata de mini ordenadores, que generan claves de un solo uso bajo petición. Las claves son introducidas manualmente o de forma automática a través de una interfaz USB, por ejemplo.
¡Muestra tus implantes!
Las claves tradicionales de hardware ofrecen un alto nivel de seguridad, pero no son muy prácticas. Es muy pesado introducir el USB cada vez que necesites acceso a un servicio en la red, además de que no se puede insertar en un smartphone. Sería más sencillo usar una clave inalámbrica, emitida vía Bluetooth o NFC. Esto es posible con las nuevas especificaciones deFIDO U2F que se han presentado este verano.
Una chapa serviría para identificar al usuario legítimo y se puede utilizar en cualquier parte: en un llavero, una tarjeta bancaria, o incluso en un chip NFC implantado bajo la piel. Cualquier smartphone podría leer esta clave y autentificar al usuario.
Uno, dos… muchos
Sin embargo, el concepto general de la verificación en dos pasos ya está pasado de moda. Los principales servicios como Google o Facebook (sigilosamente) utilizan el análisis multi-factor para ofrecer un acceso totalmente seguro. Evalúan el dispositivo y el navegador utilizado para acceder, además de la localización o el uso de ciertos patrones. Los bancos utilizan sistemas similares para localizar posibles actividades fraudulentas.