La autenticación en dos pasos es una medida de seguridad que ayuda a proteger su información en la red de usuarios no autorizados mediante el empleo de dos instrumentos de seguridad:
- Un instrumento que usted conoce: SU USUARIO y CONTRASEÑA DE ACCESO
- Un instrumento que usted posee: SU TELÉFONO o UNA LLAVE DE ANTENTICACIÓN
¿Por qué es tan importante este salto en seguridad?
Recientemente, viendo algunos videos en YouTube sobre seguridad, comencé a interesarme por mejorar la manera en la que obstaculizamos el hecho de que usuarios ilícitos accedan a nuestra información personal, ya sea Facebook, correo electrónico, contenido en la nube, etc. Y es que, como explica el conocido hacker español en numerosas intervenciones, Chema Alonso, no es tan difícil acceder a las contraseñas de acceso de nuestros perfiles en red. Basta con estar conectados a la misma red del usuario que nos quiere atacar para ser vulnerables.
Como explica Chema Alonso en el vídeo, en numerosas ocasiones estamos expuestos o tentados a conectarnos a redes Wifi públicas, ya sea en un hotel, un café, la universidad, el trabajo, etc., y ahí somos altamente vulnerables. También podemos tener la mala suerte, o la mala pata, de tener conectados a la Wifi de nuestra casa vecinos indeseados, volviéndonos vulnerables ante ellos igualmente.
Anteriormente, escribí un post donde contaba cómo elegir buenas contraseñas para nuestros registros en red. En aquel post, comentaba sobre la importancia de tener contraseñas diferentes en registros diferentes, con el fin de evitar el hecho de que si alguien roba nuestras credenciales de acceso, por ejemplo, de Facebook, no conozca las credenciales de acceso que empleamos en Gmail o Twitter.
Aún así, como puede verse en el vídeo anterior, nuestras contraseñas no son el método más seguro. Lo más seguro sería disponer dos métodos de autenticación pues: 1) es probable que nos roben la contraseña; 2) es probable que nos roben el dispositivo de autenticación; 3) pero es poco probable, salvo que seamos sumamente patosos, que nos roben ambos medios de autenticación al mismo tiempo.
¿Qué necesitamos para tener un segundo método de autenticación?
Fundamentalmente, un teléfono móvil, aunque también hay dos opciones menos frecuentes que se comentan a continuación. Veamos las distintas vías de autenticación en dos pasos:
a) Empleo del mensaje de texto SMS
Consiste en obligarnos a introducir, tras introducir nuestro usuario y contraseña (primer paso de autenticación), un código que nos llegará a nuestro teléfono por mensaje de texto (segundo paso de autenticación). Para configurar esta función debemos proporcionar nuestro teléfono móvil y confirmarlo, siguiendo los pasos que nos indique el portal web al que queremos acceder.
b) Empleo de aplicación de autenticación
Para este método necesitamos disponer de una aplicación de autenticación instalada en nuestro teléfono móvil. Una de las aplicaciones más empleadas es Google Authenticator. Esta aplicación debe ser configurada en nuestro terminal escaneando, con nuestro teléfono móvil, un código QR que aparecerá en las pantalla del ordenador como requisito para activar la función.
Google Authenticator puede servir para desbloquear el acceso a más de un registro. Es decir, podemos utilizarlo para entrar en Facebook, Twitter, Gmail, Hotmail, etc.
Para poder iniciar sesión con este método de autenticación en dos pasos, una vez configurado, entraremos inicialmente con nuestro usuario y contraseña. Una vez que hemos introducido correctamente nuestro usuario y contraseña (primer paso), para completar el acceso, se solicitará la introducción de un código de 6 dígitos que veremos en nuestro terminal de teléfono en la aplicación Google Authenticator (segundo paso). Este código de 6 dígitos cambia cada minuto, por lo que es estrictamente necesario tener a mano el teléfono móvil para poder iniciar sesión.
c) Empleo de códigos de recuperación de un solo uso
Estos códigos de recuperación sirven para: 1) Hemos perdido el teléfono y no podemos emplear ninguno de los métodos anteriores; 2) Estamos de viaje y no somos usuarios de aplicación de autenticación, solamente de autenticación por SMS; 3) Tenemos configurado la aplicación de autenticación pero no la autenticación por SMS y, por mala suerte, perdemos el teléfono o restauramos el teléfono a estado de fábrica.
En cualquiera de los escenarios anteriores, resulta importante tener estos códigos de recuperación. Los códigos de recuperación no cambian con el tiempo, al igual que sucede con los códigos de Google Authenticator, por lo que es importante tenerlos bajo recaudo, preferiblemente impresos.
Para emplear estos códigos de recuperación debemos introducir nuestro usuario y contraseña (primer paso), y posteriormente seleccionar la opción de segundo paso por código de recuperación de un solo uso. Una vez utilizado el código, táchalo, pues ese no volverá a servir.
d) Empleo de Llaves físicas de seguridad
Se trata de dispositivos físicos, como un dispositivo con NFC o llave USB (un pen drive). Para emplear esta opción de autenticación debemos introducir nuestro usuario y contraseña (primer paso), y posteriormente introducir la llave USB en el ordenador (segundo paso).
¿Dónde puedo activar estas opciones de inicio de sesión?
En las secciones de “Seguridad e Inicio de Sesión” o similares, del portal web al que queremos acceder.
Por ejemplo, en Facebook, se encuentra en “Configuración/Seguridad e inicio de sesión”.
En las cuentas de Google, se encuentra en “Cuenta de Google/Seguridad”:
En Twitter se encuentra en “Configuración y privacidad/Privacidad y seguridad/Seguridad/Revisa tus métodos de verificación de inicio de sesión”:
Y así un largo etcétera.
¿No resulta muy tedioso tener que utilizar este método una y otra vez en mi ordenador?
Pues no. Algunos portales te dan la opción de marcar una casilla que dice algo así como “no volver a solicitar verificación en dos pasos en este ordenador”. De esta manera, para iniciar sesión en ese ordenador, solamente será necesario emplear el usuario y la contraseña.
Así, nos protegemos de inicios de sesión en otros ordenadores que no son nuestros ordenadores habituales.
Y poco más que contar en relación a este “salto en seguridad”. Bien es cierto que no estaremos exentos de ataques al 100%, pero sí reduciremos sustancialmente las probabilidades de éxito de cibercriminales.
No hay comentarios:
Publicar un comentario