Google convierte los smartphones Android en llaves de seguridad 2FA

Google ha anunciado una función que permite convertir smartphones Android (versión 7.0 o superior) en llaves de seguridad para otros equipos usando la función de autenticación de dos factores o 2FA. La función utiliza los protocolos de la Alianza FIDO, que se han convertido en un estándar de la industria para claves de seguridad por hardware.

Google realizó un experimento el año pasado dentro de su propia organización, concluyendo que las claves de seguridad por hardware eran impermeables a los ataques de phishing, uno de los más utilizados por los piratas informáticos. Ello llevó a la compañía a crear y vender su propio token de seguridad de hardware a través de las llaves de seguridad, Titan Security Keys. Son de obligado cumplimiento en Google y cuentan con la garantía de que, hasta el momento, ninguno de sus 85.000 empleados han sido víctima de ataques.

El uso principal de este tipo de llaves es la autentificación de procesos de inicio de sesión, para lo que necesitaremos tener físicamente una de las llaves. Se mejora la seguridad así respecto a la autenticación en dos pasos (el clásico SMS que te envía el banco para validar una operación), las tarjetas de coordenadas y, por supuesto, la clásica combinación de usuario y contraseña.

A priori, las Titan Security Keys también son invulnerables a ataques de firmware, dado que incorporan una solución que verifica que es auténtico antes de cada proceso. Además funcionan con la mayoría de navegadores y servicios (cualquiera que soporte el estándar FIDO) y se configuran directamente desde una cuenta de Google.

Smartphones Android como llaves de seguridad 2FA

Aunque las llaves físicas son valoradas y utilizadas en segmentos profesionales, seguramente no todos los usuarios de a pie están dispuestos a pagar entre 20 y 50 dólares que cuestan o no quieran lidiar con la molestia de transportar y usar un dispositivo hardware adicional. Por ello ha creado esta función que permite convertir un teléfono personal en una llave de seguridad.

La implementación de esta característica utiliza los estándares FIDO, lo que significa que será compatible con cualquier navegador o sistema operativo que admita esos estándares. Por ahora solo soporta Chrome, pero Firefox y el próximo navegador Edge Chromium deberían admitirlo en un futuro próximo. También Windows 10, teniendo en cuenta que Microsoft es miembro de la alianza FIDO.

Cómo activar la función

Necesitas un smartphone con la versión 7 o superior de Android; una computadora que ejecute Windows 10, Chrome OS o macOS X; conectividad Bluetooth habilitada y el navegador Chrome. Con el Bluetooth activado también en el smartphone sigue estos pasos:

• Añade una cuenta Google a tu terminal Android si no lo tienes hecho ya.
• Asegúrate de tener activado la verificación en dos pasos o 2SV
• En tu computadora, accede a la configuración de 2SV y haz clic en “Agregar clave de seguridad”.
• Selecciona tu terminal Android conectado en la lista de dispositivos elegibles.

Google recomienda registrar una clave de seguridad de respaldo (ya sea un token de hardware o un terminal) por si pierdes la clave principal. Si pierdes la clave de seguridad principal y no tienes una copia de seguridad, es posible que no puedas volver a ingresar a tu cuenta de Google o al servicio para el que habilitaste la autenticación de dos factores basada en la clave de seguridad.

Aún está en fase beta y de momento solo funciona en Chrome, pero es una función interesante para combatir ataques como phishing y aumentar la seguridad en autenticaciones sin tener que usar llaves de seguridad por hardware dedicadas. Más información | Google