Claves push y de hardware

Los códigos OTP escritos funcionan, pero son engorrosos y vulnerables al phishing. Dos factores de posesión más sólidos mejoran la experiencia y la seguridad: las aprobaciones push y las llaves de seguridad de hardware.

La MFA basada en push envía una solicitud a su teléfono. Puede tocar Aprobar o Denegar en lugar de escribir un código.

Es práctico y el servidor confirma criptográficamente la respuesta.

Las solicitudes push son vulnerables a la fatiga de MFA (bombardeo de notificaciones push): los atacantes envían solicitudes de aprobación en masa con la esperanza de que el usuario toque «Aprobar» por molestia.

Defensa: la coincidencia de números, mediante la cual el usuario debe introducir un número mostrado en la pantalla de inicio de sesión.

Una llave de seguridad de hardware es un pequeño dispositivo físico (USB, NFC o Bluetooth) que realiza autenticación criptográfica.

La clave privada nunca sale del dispositivo, lo que la hace extremadamente resistente al robo.

FIDO2 es el estándar abierto en el que se basan las llaves de seguridad modernas. Su parte web es la API de navegador WebAuthn.

Juntos permiten que un sitio autentique a los usuarios mediante criptografía de clave pública en lugar de secretos compartidos.

Durante el registro, la llave genera un par de claves único para cada sitio y entrega la clave pública al sitio.

Durante el inicio de sesión, el servidor envía un desafío; la llave lo firma con la clave privada. La firma demuestra la posesión sin revelar ningún secreto.

FIDO2 vincula cada credencial al origen exacto del sitio (dominio).

Un sitio de phishing alojado en un dominio parecido no obtiene una firma válida, porque la llave se niega a autenticarse en el origen incorrecto. Esto es lo que lo hace resistente al phishing.

Las passkeys son credenciales FIDO2 que pueden sincronizarse entre sus dispositivos a través de la plataforma (teléfono, portátil).

Su objetivo es reemplazar por completo las contraseñas, manteniendo la resistencia al phishing de FIDO2.

Las llaves de seguridad pueden añadir una comprobación local, denominada verificación del usuario: un PIN o dato biométrico en el propio dispositivo.

Esto combina algo que posee con algo que sabe o que es en un solo toque.

Aproximadamente, de menor a mayor solidez:

• Códigos SMS (evítelos siempre que sea posible)
• Aplicaciones TOTP
• Push con coincidencia de números
• FIDO2 / passkeys (resistentes al phishing)

Al implementar llaves de hardware:

• Registre al menos dos llaves por usuario (una como respaldo).
• Proporcione un proceso de recuperación que también sea resistente al phishing.
• Prefiera FIDO2 para las cuentas de alto valor.

Ha aprendido sobre factores de posesión más sólidos.

• El push es práctico, pero necesita la coincidencia de números para resistir los ataques de fatiga.
• FIDO2 / passkeys usan pares de claves por sitio y vinculación al origen para resistir el phishing.
• Registre llaves de respaldo.

A continuación, veremos cómo se puede eludir la MFA y cómo reforzarla.