¿Qué es una YubiKey y cómo funciona?

Cuando obtuve mi primera YubiKey, la conecté a mi computadora portátil, intenté configurarla con algunas cuentas y luego me rendí. Durante un año y medio. No importa qué tan experto en informática sea o cuánto valore la seguridad, algo en YubiKey simplemente parece confuso. Pero no es necesario.

YubiKey es un dispositivo que simplifica al máximo la autenticación de dos factores. En lugar de un código enviado por SMS o generado por una aplicación en su teléfono, presione un botón en su YubiKey. Eso es todo. Cada dispositivo tiene un código integrado único, que se utiliza para generar códigos que ayudan a confirmar su identidad. Presione el botón y podrá iniciar sesión.

Podríamos hacer los cálculos y analizar los diversos protocolos compatibles con dispositivos como este, pero la mayoría de los usuarios no necesitan saber nada más que "ingrese su nombre de usuario y contraseña, como de costumbre, luego presione el botón en YubiKey para iniciar sesión".

Se requiere una YubiKey para acceder a muchas de las herramientas internas de Zapier, así que finalmente pude aprender a usar una. Me alegro de haberlo hecho, aquí le explicamos por qué y cómo puede crear uno también.

YubiKey no es el único dispositivo de hardware de autenticación de dos factores en el mercado, solo el más popular. Hay varios dispositivos similares y la mayor parte de la información descrita en este artículo se aplica a ellos.

¿Qué es la autenticación de dos factores?

Hemos escrito mucho sobre la autenticación de dos factores, pero debe ir más allá de los conceptos básicos antes de que podamos explicar por qué los dispositivos de autenticación de dos factores de hardware son una buena idea.

Las contraseñas son terribles. La mayoría son demasiado fáciles de adivinar para los piratas informáticos, y el resto son demasiado largos o complicados para que los humanos los recuerden. Incluso las contraseñas seguras son inútiles una vez que se filtran, y las filtraciones son prácticamente inevitables. Por estas y otras razones, es una buena idea no depender completamente de las contraseñas. Esta es la idea detrás de la autenticación de dos factores (a menudo abreviada como 2FA).

Con la autenticación de dos factores, necesita dos cosas para iniciar sesión: su contraseña, sí, pero también algo más que demuestre que es quien dice ser. Probablemente esté familiarizado con dos formas de realizar 2FA:

  • SMS o códigos de correo electrónico. Las aplicaciones le envían un código, que debe ingresar antes de poder iniciar sesión. Este es el método más simple de configurar porque no necesita instalar ningún software ni comprar ningún hardware. También es el menos seguro porque el correo electrónico y los SMS no están encriptados y se comprometen fácilmente.

  • Aplicación de autenticación. Las aplicaciones a las que desea acceder le pedirán un código que puede recuperar abriendo una aplicación en su teléfono, como Google Authenticator o Authy. Esto es mucho más seguro que depender de los mensajes de texto o el correo electrónico, pero no es exactamente conveniente: debe levantar su teléfono, abrir una aplicación y luego escribir un código.

YubiKey es una tercera forma de realizar la autenticación de dos factores: autenticación de hardware. Las aplicaciones le piden que conecte una herramienta como YubiKey a su dispositivo y presione un botón. YubiKey envía un código único que el servicio puede usar para confirmar su identidad. Esto es más seguro, porque los códigos son mucho más largos y convenientes, porque no tiene que escribir los códigos usted mismo.

Hay muchos más matices que esto, por supuesto. Pero en su mayor parte, solo necesita saber que 2FA es más seguro y más fácil de usar.

¿Por qué una YubiKey es mejor que otras 2FA?

Hemos analizado esto un poco, pero hablemos de por qué una YubiKey (y dispositivos similares) es mejor que otras formas de 2FA. Para nombrar unos pocos:

  • Conveniencia. Las aplicaciones para SMS, correo electrónico y autenticación requieren que copie y pegue o ingrese manualmente un código. Con YubiKey, simplemente presiona un botón en un dispositivo conectado a su computadora.

  • Códigos mucho más largos. Otros métodos 2FA generalmente solo le envían un código de seis dígitos para confirmar su identidad, básicamente porque no sería razonable esperar que los humanos escribieran mucho más. YubiKeys no le pide que escriba manualmente un código, por lo que son libres de usar códigos mucho más largos. Es mas seguro.

  • Fácil de migrar. ¿Tienes una computadora nueva? Simplemente desconecte el YubiKey del anterior, conéctelo al nuevo y podrá acceder a todas sus aplicaciones, como antes. También puede utilizar una clave para iniciar sesión en su cuenta en varias computadoras. Encontré el proceso mucho más fácil que migrar otros 2FA.

  • Realmente difícil de piratear. Es relativamente fácil para los piratas informáticos comprometer su correo electrónico o SMS. Es mucho más difícil, casi imposible con la tecnología actual, falsificar códigos generados por un solo dispositivo de hardware.

Aún, hay muchos más matices aquí, pero estas son las grandes ventajas de YubiKey sobre otras formas de 2FA.

Cómo configurar su YubiKey

Configurar su YubiKey no es tan diferente de configurar la autenticación de dos factores basada en aplicaciones. Si realmente está utilizando una YubiKey (no otro autenticador de hardware), esto es lo que debe hacer:

  1. Conecte su YubiKey.

  2. Ir Yubico.com/setup y haga clic en su dispositivo.

  3. Explore la lista de aplicaciones compatibles y encuentre lo que desea proteger.

  4. Sigue las instrucciones.

Cómo funciona variará de una aplicación a otra, pero usaré Google como ejemplo. Siga las instrucciones de Google y encontrará un enlace a las instrucciones para agregar su YubiKey a su cuenta de Google, que ofrece un enlace para agregar su clave.

Configuración de Google YubiKey

Se le pedirá que conecte su dispositivo y presione el botón.

Google confirma YubiKey

Haz eso. Su navegador puede solicitar permiso para acceder a su clave, pero una vez que se le otorga el permiso, debe recibir una confirmación de que su clave ha sido configurada. Opcionalmente, puede darle un nombre, que es útil si tiene varias YubiKeys.

Google YubiKey funciona

Eso es todo. Ahora puede usar su YubiKey para iniciar sesión en su cuenta de Google en cualquier dispositivo. Repita este proceso para cada cuenta que desee bloquear de esta manera.

¿Cómo dejo de activar accidentalmente mi YubiKey?

Yubikeys de todas las formas y tamaños
Las YubiKeys están disponibles en todas las formas y tamaños (pequeños).

Soy dueño de YubiKey 5C Nano, que es una pequeña llave USB-C. Lo dejo conectado a mi MacBook Pro y es sorprendentemente fácil de activar accidentalmente, especialmente cuando levanto mi computadora portátil. No es tanto un botón como una delgada tira de metal que se activa cuando se toca. Cuando lo toca, cree que está intentando acceder a algo, lo que da como resultado que se ingrese un código seguro en cualquier cuadro de texto que haya abierto, y luego se "presiona" la tecla Intro. El resultado, en Slack, se ve así:

¿Qué sucede si presionas tu YubiKey en Slack?
Sí, esto sucede con tanta frecuencia que tenemos un emoji personalizado para ello.

Estos códigos son generados por OTP, que es uno de los protocolos que usa YubiKey para conectarse a los servidores. Puede evitar que esto suceda por completo desactivando OTP, pero esto podría interrumpir su capacidad para acceder a algunos servicios. Creo que, para la mayoría de los usuarios, es mejor configurar OTP para que no se active a menos que mantenga presionado el botón durante tres segundos. Esto es un poco complicado, pero factible. YubiKey ofrece instrucciones para resolver este problema., pero son un poco difíciles de seguir, así que aquí hay un resumen.

Para comenzar, descargar YubiKey manager en tu ordenador. Instálelo, abra el programa, coloque el cursor sobre él Aplicaciones y haga clic en OTP.

Gerente de YubiKey

Debería ver dos ranuras OTP: Short Touch, en la ranura 1, y Long Touch, en la ranura 2. Haga clic en el botón A cambio , para que OTP aparezca en la ranura 2. Así:

YubiKey intercambia ranuras OTP

En algunos casos, no será tan simple, pero solo si ha configurado la ranura 2 para algún otro propósito. usted puede leer más en el sitio web de YubiKey si eres tu.

¿La activación accidental de mi YubiKey en una sala de chat es realmente mala?

Si accidentalmente pega algún código en algo como Slack o en un editor de texto, no hay razón para entrar en pánico de inmediato, no lo es. completamente obvio a quién pertenece o para qué se puede usar para iniciar sesión (y, si lo ha publicado en Slack, es de esperar que sus compañeros de trabajo no estén tratando de piratearlo).

Dicho esto, siempre existe la posibilidad de que un código 2FA filtrado pueda habilitar a un hacker particularmente creativo, por lo que no querrá convertirlo en un hábito.

Además, no estás indefenso si sucede. Cada código YubiKey es único y se vuelve inválido cada vez que usa el dispositivo para acceder a algo. Puede invalidar manualmente los códigos si está preocupado. Solo cabeza a este sitio web y pegue el código filtrado allí.

En Zapier, la gente publica accidentalmente códigos YubiKey en Slack ... mucho. Es un meme interno en este punto. Es divertido y probablemente inofensivo, pero nuestro equipo de seguridad ha configurado un sistema automatizado para invalidar todos estos códigos por si acaso. Puede configurarlo si lo desea; haga clic aquí para comenzar.

¿Puedo usar una YubiKey con varios dispositivos?

¡Sí! Conecte su YubiKey a cualquier computadora e inicie sesión como lo haría normalmente. Así es: podrá iniciar sesión en todas sus cuentas, como antes. Puede usar su YubiKey para acceder a tantos dispositivos como desee, siempre que haya una ranura para ello. Esto es útil si posee varios dispositivos y también es excelente cuando obtiene una computadora nueva.

¿Qué pasa si pierdo mi YubiKey?

¿No es fantástico? Sin su YubiKey probablemente no podrá iniciar sesión. Pero hay algunas cosas que puede hacer para reducir el riesgo.

  • La mayoría de los servicios que admiten 2FA (incluido YubiKey) le permiten crear códigos de respaldo. Asegúrese de hacer esto y guarde los códigos en un lugar seguro, idealmente sin conexión. Considere imprimirlos y guardarlos en una caja de seguridad si puede.

  • También puede agregar otro tipo de 2FA a cualquier servicio que haya configurado con su YubiKey, como respaldo. Podría ser una verificación basada en la aplicación, o podría comprar una segunda YubiKey, agregarla como una opción para todos sus servicios y luego guardarla en un lugar seguro (¿tal vez en una bóveda diferente a donde se encuentran sus códigos de respaldo?).

Si no tiene códigos de seguridad o un segundo método 2FA y ya ha perdido su YubiKey, no lo está necesariamente mala suerte. La mayoría de los servicios que ofrecen 2FA tienen algún tipo de proceso de verificación para iniciar sesión después de perder sus credenciales, pero tenga en cuenta que llevará algún tiempo y supondrá muchos problemas. Es mucho mejor estar preparado, así que asegúrese de tener sus códigos de respaldo en un lugar seguro o configure un segundo método 2FA.

También: asegúrese de eliminar su YubiKey perdida como método 2FA después de recuperar el acceso a su cuenta. Es probable que quien encuentre su YubiKey no sepa a qué cuentas da acceso, pero es mejor prevenir que curar.

Para aclarar: Su Yubikey no almacena nombres de usuario identificables y no almacena ninguna de sus contraseñas. Quien encuentre su YubiKey no tendría absolutamente ninguna forma de saber a qué cuentas puede acceder. Esto cambia un poco si la persona que "se entera" sabe que es suyo, digamos porque lo robó de su casa o de la oficina. Pero cualquiera que encuentre una YubiKey en la calle o en un aeropuerto no podrá averiguar de quién es la llave.


El YubiKey parece intimidante, pero no tiene por qué serlo. Configure sus aplicaciones para usarlo y encontrará que en realidad es más fácil que otras formas de autenticación de dos factores. Consígalo de alguien que lo ha pospuesto durante mucho tiempo, vale la pena.

Foto por Andre A. Xavier en Unsplash.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Subir

En boligrafointeligente.com utilizamos cookies. Más información

Previous Next
Close
Test Caption
Test Description goes like this