¿YubiKey hace que la autenticación de dos pasos sea menos molesta?

Con el número de incidentes de piratería que aumentan día a día, todos deberían usar la autenticación de dos pasos / dos factores (2FA) ¿Qué es la autenticación de dos factores y por qué debe usarla? ¿Qué es la autenticación de dos factores y por qué debería? Úselo La autenticación de dos factores (2FA) es un método de seguridad que requiere dos formas diferentes de demostrar su identidad. Se usa comúnmente en la vida cotidiana. Por ejemplo, pagar con tarjeta de crédito no solo requiere la tarjeta, ... Agrega una capa a prueba de balas alrededor de su cuenta en línea, lo que hace que sea extremadamente difícil, si no imposible, que un hacker penetre.

Pero muchas personas se desaniman de usar 2FA, simplemente por el inconveniente ¿Puede la verificación en dos pasos ser menos irritante? Cuatro trucos secretos garantizados para mejorar la seguridad ¿Puede la verificación en dos pasos ser menos irritante? Cuatro trucos secretos garantizados para mejorar la seguridad ¿Desea seguridad de la cuenta a prueba de balas? Le recomiendo habilitar lo que se llama autenticación de "dos factores". de tener que obtener un segundo código de su teléfono cada vez que desean iniciar sesión. Por lo tanto, las personas deshabilitan la función o no se molestan en configurarla en primer lugar. Pero deberías, ya que muchas compañías ahora se están sumando a la idea.

Si te cuentas en el “fácilmente inconveniente” grupo, entonces te alegrará saber que hay otra opción en lugar de 2FA. Esta opción mantiene su cuenta igual de segura, pero todo lo que necesita hacer es presionar un botón y ya está. Se llama YubiKey, y después de unos días de usarla, ya estoy convertido. Bebé, me tenías hola.

¿Qué es un YubiKey??

Una YubiKey es una memoria USB, fabricada por la empresa Yubico. Hacen varios productos, todos los cuales realizan trabajos similares. Pero para los propósitos de este artículo, me voy a centrar en el Fido U2F, (Universal 2-Factor) que es el que recibí. Es fácil de configurar y usar, y aparentemente indestructible.

Desde el sitio:

“Todos los YubiKeys son casi indestructibles. El YubiKey de tamaño estándar (como el YubiKey Standard, YubiKey NEO, YubiKey Edge y FIDO U2F Security Key) está hecho de plástico moldeado por inyección que recubre los circuitos, mientras que los elementos expuestos consisten en oro endurecido de grado militar. Impermeable y a prueba de golpes, el YubiKey de tamaño estándar se adhiere a su llavero junto con las llaves de su casa y automóvil”.

Es una cosa bastante pequeña y delicada, y te perdonarían por dudar de “indestructible” Reclamación. Con un peso de solo 3 gramos, sus medidas son de solo 18 mm x 45 mm x 3 mm. Pero esta pequeña clave, junto con el almacenamiento de todas mis contraseñas en KeePass, repentinamente ha hecho que el inicio de sesión en las cuentas sea sencillo y sin molestias. Google y Facebook usan YubiKey para las credenciales de los empleados, por lo que el concepto tiene algunos seguidores muy fuertes detrás, respaldando. Google lo presentó para sus usuarios en 2014.

Como funciona?

El YubiKey es una pieza de hardware que admite contraseñas de un solo uso, encriptación y autenticación de clave pública y el protocolo Universal 2nd Factor (U2F) desarrollado por FIDO Alliance. Puede usarlo para iniciar sesión de forma segura en sus cuentas compatibles utilizando una contraseña de un solo uso o un par de claves pública / privada basada en FIDO. ¿Cómo funciona el cifrado y es realmente seguro? ¿Cómo funciona el cifrado y es realmente seguro? generado por el dispositivo. Después de ingresar la tecla, presiona el botón dorado y el toque de su dedo emite una pequeña carga eléctrica que activa el dispositivo.

Cómo lo configuras?

Una YubiKey es muy fácil de configurar, como verá a continuación. Una clave U2F funciona para cuentas de Google, Dropbox, Github ¿Qué es Git y por qué debería usar el control de versiones si es un desarrollador? ¿Qué es Git y por qué debería usar el control de versiones si es un desarrollador? Como desarrolladores web, muchos cuando tendemos a trabajar en sitios de desarrollo local, simplemente cargamos todo cuando terminamos. Esto está bien cuando solo eres tú y los cambios son pequeños ... y Dashlane Dashlane: un nuevo administrador de contraseñas, rellenador de formularios y asistente de compras en línea. Dashlane: un nuevo administrador de contraseñas, rellenador de formularios y asistente de compras en línea. Algunos administradores de contraseñas antes, probablemente haya aprendido a esperar cierta aspereza en los bordes. Son aplicaciones sólidas y útiles, pero sus interfaces pueden ser demasiado complejas e inconvenientes. Dashlane no solo reduce ... A los fines de este artículo, voy con las cuentas de Google, pero las demás seguirán más o menos el mismo procedimiento. Solo capturas de pantalla diferentes.

Dirígete a tu página de autenticación de 2 pasos de Google y haz clic en Llaves de seguridad lengüeta.

Esto te lleva a la página de configuración. Siga las instrucciones que se detallan en la página. Todo es muy básico y directo..

Cuando la clave se ha registrado correctamente, el “Registro” la tecla en la parte inferior se volverá verde y mostrará “Registrado”. Si no es así, comience de nuevo desde el principio hasta que lo haga..

Puede verificar si la clave se ha registrado correctamente volviendo a Llaves de seguridad lengüeta.

Y eso, damas y caballeros, ¿es eso?.

¿Qué sucede si inicia sesión con un teléfono inteligente o tableta??

Esta fue una de las primeras cosas que me vinieron a la mente. Inicio sesión en todas mis cuentas de Google mucho en mis dispositivos iOS. Mis iDevices son maravillosos y todo, pero la única debilidad que tienen es que no tienen puerto USB. Entonces, ¿a dónde va la YubiKey cuando me pregunta?

Después de consultar con la empresa, parece que si inicia sesión en su cuenta a través de un teléfono o tableta, YubiKey lo detecta, y la pantalla de inicio de sesión automáticamente cambiará a su método de autenticación de 2 factores (SMS, Authy o Google Authenticator Google recomienda 2) -Proceso de pasos para proteger su cuenta [Noticias] Google recomienda un proceso de 2 pasos para proteger su cuenta [Noticias] La mayoría de los usuarios inteligentes de Internet probablemente tengan al menos una cuenta de Google, principalmente porque Google, para bien o para mal, se cruza con tantos otros sitios web que es difícil evitar no usar el ...). El YubiKey en sí solo se solicitará si detecta que está utilizando una computadora de escritorio o portátil, algo que tendrá un puerto USB.

También vale la pena señalar que si enruta su correo electrónico a través de un cliente local como Apple Mail o Outlook, entonces ni el YubiKey ni el 2FA son compatibles. En este caso, deberá usar una contraseña de aplicación especial de la aplicación en cuestión.

Sus ventajas

Veamos ahora algunas de las ventajas de usar una clave como esta.

Es extremadamente simple de usar

Realmente no hay forma de estropear algo como esto. Una vez que se ha configurado correctamente, simplemente inserte la llave en el puerto USB y presione el botón brillante una vez. Eso es. Ahora, ¿cómo podría alguien equivocarse??

Su cuenta tiene seguridad adicional sin la molestia

Como mencioné anteriormente, 2FA es bueno, pero puede ser molesto. Cuando hablo con alguien que no tiene 2FA, la excusa normal es invariablemente “es demasiado complicado“. Pero mi contraargumento es siempre “y cuánta molestia está involucrado en tratar de recuperar una cuenta pirateada?“. Pero sin embargo todavía lo entiendo. 2FA implica iniciar sesión en su teléfono, obtener el código e ingresarlo. Hacerlo una vez no es gran cosa, pero cuando lo haces de manera regular, comienza a ser tedioso. Incluso he estado tentado en varias ocasiones a apagar todo y no preocuparme de que alguien pueda entrar en mis cuentas, y no estoy solo en esto.

Un YubiKey elimina esa molestia y lo hace más propenso a usar la protección adicional. Sin embargo, aún necesitará configurar 2FA si accede a sus cuentas en línea a través de un teléfono inteligente o tableta. Entonces no puedes escapar de 2FA por completo.

Es barato

Los diversos YubiKeys que se ofrecen tienen diferentes precios ($ 40- $ 50), ya que cada uno realiza un determinado trabajo (consulte el “Desventajas” sección para más información sobre esto). Sin embargo, el U2F es realmente barato ($ 18 en Amazon), ya que hace menos que las otras claves. Para mojarse los pies con el dispositivo, comenzar con el U2F es ideal. Piense en ello como las ruedas de aprendizaje en la bicicleta de un niño.

Es imposible infectarse con virus

Una de las cosas que más noté en línea, al leer sobre YubiKeys, es que la gente grita “e infectarlo en un terminal público de Internet? NO, GRACIAS!“. Bueno, primero, no deberías usar conexiones de Internet públicas 5 maneras de asegurarte de que las computadoras públicas que usas sean seguras 5 formas de asegurarte de que las computadoras públicas que usas sean seguras exigir aún mayor precaución. Si está utilizando una computadora pública, siga estas pautas para garantizar su privacidad y seguridad. por razones de seguridad, y en segundo lugar, las YubiKeys no pueden contraer virus, ya que es imposible mover archivos a él. No es ese tipo de dispositivo USB. Agregue a eso el hecho de que la información contenida en la tecla está protegida contra escritura y la computadora reconoce la tecla como un teclado. Así que no hay necesidad de preocuparse por ese puntaje.

Sus desventajas

Aunque la YubiKey es un gran dispositivo en mi opinión, todavía hay algunas desventajas notables que debe tener en cuenta..

Solo funciona en Chrome

Al momento de escribir este artículo, YubiKey solo funciona en Google Chrome, versión 38 o posterior. Por lo tanto, los usuarios de Firefox, Safari, Opera y Edge 10 razones por las que deberías estar usando Microsoft Edge ahora 10 razones por las que deberías estar usando Microsoft Edge ahora Microsoft Edge marca una ruptura completa con la marca Internet Explorer, matando a 20 años viejo árbol genealógico en el proceso. Aquí le explicamos por qué debería usarlo. . Es muy posible que suban a bordo en el futuro, pero en este momento no son compatibles con YubiKey. Por mi vida, no puedo entender por qué solo Chrome es compatible. Aliena a una gran cantidad de usuarios del navegador.

Diferentes cuentas requieren diferentes claves

Yubico fabrica 7 productos diferentes, y todos hacen cosas diferentes. Por ejemplo, mi clave, el Fido U2F, solo abre cuentas en los administradores de contraseñas de Google, Dropbox, Github y Dashlane (solo cuentas premium).

Pero, y aquí está el gran pero, si desea proteger sus cuentas de sistema operativo, Paypal, Evernote o WordPress, necesitará diferentes YubiKeys. Sin embargo, si todo lo que necesita es algo para desbloquear su cuenta de Gmail, entonces el U2F es suficiente. Cualquier otra cosa es como usar un tanque para aplastar una mosca.

El YubiKey 4 hace casi todo, pero a $ 50 puede resultar demasiado caro para alguien que solo quiere ingresar a su correo electrónico..

Si alguien obtiene su clave y contraseña de cuenta, su cuenta está comprometida

Lo que sucede con 2FA es que cualquier intruso necesitaría acceso físico a su teléfono para obtener el SMS o el código de Google Authenticator. Si tiene un código de acceso en su teléfono (que debería, especialmente a la luz del enfrentamiento entre Apple y el FBI, las puertas traseras del FBI no ayudarán a nadie, ni siquiera el FBI Las puertas traseras del FBI no ayudarán a nadie, ni siquiera al FBI El FBI quiere obligar a las compañías de tecnología a habilitar los servicios de seguridad para espiar la mensajería instantánea. Pero tales puertas traseras de seguridad en realidad no existen, y si existieran, ¿confiaría en su gobierno con ellas?), entonces sería imposible acceder a sus códigos 2FA Un tercero no autorizado. A menos que su código sea algo extremadamente obvio (como su cumpleaños), y el intruso lo conozca lo suficientemente bien como para adivinar que.

Pero si alguien obtiene su YubiKey, y también conoce la contraseña de su cuenta, entonces entraría en la cuenta más rápido que un cuchillo caliente a través de la mantequilla. No tendrían un código de teléfono inteligente para evitar. Eso supone que, para empezar, tienes un código de acceso en tu teléfono. Si no, bueno, entonces no hay diferencia entre usar 2FA y usar un YubiKey.

La mejor manera de solucionar este problema es usar una contraseña de cuenta muy larga y difícil de adivinar. Guía de administración de contraseñas. Guía de administración de contraseñas. No se sienta abrumado por las contraseñas, o simplemente use la misma en cada sitio para que recuerde ellos: diseñe su propia estrategia de administración de contraseñas. (y guárdelo en un administrador de contraseñas cifrado Administrador de contraseñas Battle Royale: ¿Quién terminará arriba? Administrador de contraseñas Battle Royale: ¿Quién terminará arriba?). De esa forma, incluso si la clave cayera en las manos equivocadas, descubrir la contraseña de la cuenta sería extremadamente difícil, si no imposible. Sin la contraseña, la clave terminaría siendo una pieza de plástico inútil..

¿Hay alguna alternativa a YubiKey??

Después de mirar alrededor, la única alternativa a YubiKey parece ser Nitrokey. Aproximadamente al mismo precio que el YubiKey, NitroKey se fabrica en Alemania y se enorgullece de ser de código abierto. También parece hacer mucho más que un YubiKey, lo que me hace considerar comprar uno y probarlo para compararlo. El producto se llamaba anteriormente Crypto-Key y fue revisado por Danny en 2012. El Crypto Stick de German Privacy Foundation: cómo y por qué es más seguro El Crypto Stick de German Privacy Foundation: cómo y por qué es más seguro Se crean constantemente nuevas tecnologías para aumentar la seguridad, y muchas de esas tecnologías eventualmente desaparecen debido a lagunas y otros problemas que eventualmente se descubren. Ninguna forma de seguridad está exenta ... .

Pero es agradable ver que al menos otra compañía está haciendo un producto rival y, en el proceso, avanza todo el concepto de una clave de seguridad. La rivalidad promueve la investigación, y la investigación termina en mejores productos (generalmente).

Tranquilidad o conveniencia?

Toda la exploración del concepto YubiKey me ha planteado, de todos modos, la cuestión de qué deberíamos estar preparados para soportar en nombre de la seguridad. La autenticación de 2 factores es una excelente manera de asegurarse de que su cuenta esté bloqueada, pero como mencioné, puede ser un verdadero dolor de cabeza. Esto lleva a muchas personas a decir “mierda, estoy apagando esto!”.

Por otro lado, algo como una YubiKey o una NitroKey hace que todo el proceso sea conveniente. Presiona un botón y estarás dentro. Pero si pierdes la llave y alguien puede adivinar tu contraseña fácilmente, entonces tendrás un mal día. Así que tranquilidad (y dar algunos pasos adicionales de molestia) o presionar el botón en una tecla y ahorrar 60 segundos? ¿En qué campamento te caes? Dinos en los comentarios.