Google acaba de anunciar una nueva función de seguridad que permite a los usuarios de Android 7 o posterior utilizar sus teléfonos para autentificarse en sus cuentas de Google.
Esta noticia quedó eclipsada entre todas las mejoras orientadas a las empresas reveladas el miércoles pasado en Google Cloud Next 2019 en San Francisco.
Publicada como beta, esta funcionalidad está diseñada para proteger a los usuarios de Google de ataques de phishing. Una vez activada, el usuario se conecta a su cuenta Google utilizando su nombre de usuario y contraseña como siempre y a continuación tiene que hacer clic en un enlace en su móvil, previamente registrado, para completar el proceso.
Se trata del mismo principio que utiliza un token USB FIDO llamado YubiKey (o la llave Titan de Google que lanzó el año pasado), excepto por que el propio móvil se convierte en el token.
De esta forma se vence al phishing como si se tratara de un token ya que no es suficiente que un atacante conozca el nombre de usuario y la contraseña de un usuario para poder entrar en su cuenta, sino que también es necesario tener acceso físico a su móvil.
Requisitos
Para usar tu móvil Android (parece que las tablets aún no son compatibles) como un token de seguridad, debes utilizar Android 7.x o posterior y necesitas activar el Bluetooth.
Tu ordenador también debe tener Bluetooth y utilizar la última versión de Chrome, en un ordenador Chrome OS, macOS X o Windows.
¿Cómo activarlo?
Según el centro de asistencia de Google:
Paso 1: Añade la llave de seguridad a tu cuenta de Google
- Activa la verificación en dos pasos y añade un método de verificación, como los mensajes de Google. Si ya utilizas la verificación en dos pasos, puedes saltarte este punto.
- En tu teléfono Android, accede a myaccount.google.com/security.
- En “Iniciar sesión en Google”, toca Verificación en dos pasos. Es posible que tengas que iniciar sesión.
- Desplázate hacia abajo, hasta “Configurar un segundo paso alternativo”.
- Selecciona Añadir llave de seguridad y luego Tu teléfono Android y luego Activar.
Paso 2: Utiliza la llave de seguridad integrada de tu teléfono Android
- Asegúrate de que el Bluetooth esté activado en la configuración o en las preferencias de tu ordenador.
- Desde tu ordenador, inicia sesión en tu cuenta de Google con tu nombre de usuario y tu contraseña.
- Busca una notificación en tu teléfono Android.
- En tu teléfono Android, toca dos veces la notificación “¿Estás intentando iniciar sesión?”.
¿Cómo funciona?
Google ofrece unos pocos detalles técnicos en esta entrada de blog, pero podemos asumir que sigue los protocolos FIDO2 que recientemente añadió a Android, y el más amplio estándar de autentificación WebAuthn.
Resumiendo, los navegadores que soporten WebAuthn se comunican de forma segura con el servidor, en este caso, Google, verificando su autenticidad. El protocolo FIDO2, mientras tanto, gestiona la parte donde el ordenador y el móvil se comunican para verificar que el usuario tiene presente el móvil.
La segunda parte funciona empleando el Client to Authenticator Protocol (CTAP) de FIDO2, que realiza la autenticación con el móvil vía Bluetooth.
Un informe sobre el evento también menciona algo llamado “cloud-assisted Bluetooth Low Energy (caBLE)”. No está claro lo que es, pero puede que sea la próxima aportación de Google al estándar FIDO2.
¿Qué ocurre si pierdes o no tienes tu móvil? En ese caso, necesitarás tener activada la app Authenticator o tener un llave de seguridad (YubiKey o Titan), o haber anotado los códigos de seguridad de respaldo que Google te permite descargar e imprimir.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
Dejar un comentario