¿Para qué sirve el U2F y cuáles son sus ventajas?
Una clave de seguridad U2F es importante para asegurar tu proceso de autenticación. Estas claves de seguridad U2F protegen tu cuenta de una toma de control maliciosa, incluidos los ataques de pishing. Esta guía te ayuda a entender qué es una clave de seguridad U2F y por qué en Tuta recomendamos utilizar una. Esto le ayudará a no perder nunca el acceso a su identidad en línea.
¿Qué es exactamente U2F y para qué sirve?
tl;dr: U2F es importante porque es la opción más segura para proteger las credenciales de tu cuenta. Por lo tanto, actívalo siempre que sea posible.
De hecho, U2F es tan importante que todos los servicios de correo electrónico deberían soportarlo.
La razón es sencilla: Tu cuenta de correo electrónico es la puerta de entrada a tu identidad online. Piénsalo: servicios como Amazon, X, PayPal (por nombrar algunos) y otros están vinculados a tu cuenta de correo electrónico. Incluso si utilizas contraseñas seguras para estos servicios, se pueden restablecer fácilmente si un atacante hostil ha conseguido acceder a tu buzón de correo.
De eso es de lo que te protegen las claves de seguridad U2F (FIDO). Si se activan en tu cuenta de correo electrónico, por ejemplo en Tuta, será casi imposible que atacantes malintencionados se apoderen de tu buzón.
¿Qué es U2F (Universal 2nd Factor)? - Definición
U2F es un estándar de autenticación abierto que utiliza una clave para múltiples servicios. Simplifica y eleva la seguridad proporcionada por 2FA (autenticación de dos factores) ya que no se necesitan controladores ni software cliente.
La autenticación universal de segundo factor hace referencia a un dispositivo independiente que contiene una clave secreta adicional necesaria para iniciar sesión en tu(s) cuenta(s) digital(es). En lugar de introducir un código determinado (OTP), basta con conectar un dispositivo como segundo factor.
**Másinformación: 4 formas de proteger tu identidad digital hoy.
Claves de seguridad U2F frente a autenticación 2FA
Las claves U2F no son lo mismo que 2FA: 2FA es la autenticación de dos factores que incluye todos los métodos para el segundo factor (por ejemplo SMS, TOTP, U2F y más). Las claves de seguridad U2F sólo ofrecen una opción para configurar la autenticación de doble factor, ¡aunque es la más segura!
¿Cuáles son las ventajas de utilizar una clave de seguridad U2F?
- Autenticación rápida: Reduce el tiempo de autenticación
- Seguridad sólida: No hay toma de posesión de cuentas cuando se despliega completamente
- Múltiples opciones: Acceso a casi 1.000 aplicaciones y servicios
¿Cuáles son las desventajas?
Hay una desventaja significativa de las soluciones U2F en comparación con TOTP (que utiliza un secreto compartido): En el caso de U2F no existe la opción de hacer copias de seguridad de los códigos de recuperación de secretos compartidos.
Si se pierde una clave de seguridad de hardware, será imposible iniciar sesión en los servicios y aplicaciones que estaban protegidos originalmente con esta clave de seguridad de hardware. Por ello, la mayoría de los servicios ofrecen una forma de restablecer las credenciales de inicio de sesión para recuperar el acceso.
Por ejemplo, Tuta ofrece un código de recuperación que debe introducirse junto con la contraseña correcta para restablecer (en este caso: eliminar) una clave de seguridad U2F perdida. Además, en Tuta es posible registrar varias claves de seguridad U2F. Si se pierde una, los usuarios pueden iniciar sesión con otra de las claves de seguridad U2F registradas.
¿Es U2F realmente necesario para todo el mundo?
En general, en Tuta recomendamos a todo el mundo que asegure sus credenciales de inicio de sesión en Tuta con una clave de seguridad U2F.
En Tuta recomendamos a todo el mundo que utilice un segundo factor como un Yubikey.
Autenticación U2F
U2F - segundo factor de autenticación con una llave de seguridad de hardware - es la forma más segura de proteger sus cuentas en línea de ataques maliciosos como el relleno de credenciales. También es más segura que la autenticación de segundo factor mediante OTP o TOTP, las llamadas contraseñas de un solo uso o contraseñas de un solo uso basadas en el tiempo. Se trata de códigos generados que sólo son válidos durante un breve periodo de tiempo. Por lo tanto, desde Tuta recomendamos encarecidamente activar una llave hardware para proteger su buzón cifrado.
¿Cómo protegen las claves de seguridad U2F contra el phishing?
Las claves de seguridad U2F endurecen sus credenciales de inicio de sesión, lo que garantiza que nadie pueda hacerse con el control de sus cuentas, ni siquiera después de un ataque de phishing con éxito.
En el mundo digitalizado de hoy en día, donde todo ocurre en línea, los correos electrónicos de phishing son cada vez más sofisticados. Esto significa que también aumenta el riesgo de caer en este tipo de ataques. El remitente del correo electrónico de phishing suele intentar que haga clic en un enlace en el que se supone que debe introducir su contraseña. Si esto ocurre, el atacante puede robar fácilmente la contraseña y hacerse con el control de la cuenta.
Sin embargo, si en su cuenta se ha activado un segundo factor como el U2F, la contraseña será inútil para el atacante y su cuenta estará a salvo.
Además, el inicio de sesión de un usuario con U2F activado está vinculado al origen; esto significa que sólo el sitio real puede autenticarse con la clave (segundo factor). La autenticación fallará en cualquier sitio falso de phishing, aunque se haya engañado al usuario haciéndole creer que era real.
¿Por qué deberías activar un segundo factor de autenticación (2FA)?
- Una clave de seguridad U2F aumenta la protección de tus cuentas (como las de correo electrónico, drive o redes sociales).
- Una clave de seguridad U2F es la versión más segura de la autenticación de dos factores.
- Un dispositivo U2F crea una clave criptográfica para desbloquear tu cuenta.
- Los ataques de suplantación de identidad son casi imposibles con una clave de seguridad U2F.
¿Cómo funcionan las claves de seguridad U2F?
Para el usuario, las claves de seguridad U2F son realmente sencillas. Puedes activar la misma clave de seguridad U2F en todas tus cuentas, como Tuta, Amazon o X. Cuando inicias sesión, introduces tu nombre de usuario y contraseña, y luego sólo tienes que meter la llave de hardware tipo USB en tu dispositivo y tocarla para finalizar el proceso de autenticación.
Desde el punto de vista técnico, el proceso es mucho más complejo. La Fido Alliance explica el proceso de la siguiente manera:
“El dispositivo y el protocolo U2F deben garantizar la privacidad y la seguridad del usuario. En el núcleo del protocolo, el dispositivo U2F tiene una capacidad (idealmente, incorporada en un elemento seguro) que acuña un par de claves pública/privada específico del origen. El dispositivo U2F proporciona la clave pública y un Key Handle al servicio en línea o sitio web de origen durante el paso de registro del usuario."
"Más tarde, cuando el usuario realiza una autenticación, el servicio en línea o sitio web de origen devuelve el manejador de claves al dispositivo U2F a través del navegador. El dispositivo U2F utiliza el manejador de claves para identificar la clave privada del usuario y crea una firma que se envía de vuelta al origen para verificar la presencia del dispositivo U2F. Así, el Key Handle es simplemente un identificador de una clave concreta en el dispositivo U2F."
"El par de claves creado por el dispositivo U2F durante el registro es específico del origen. Durante el registro, el navegador envía al dispositivo U2F un hash del origen (combinación de protocolo, nombre de host y puerto). El dispositivo U2F devuelve una clave pública y un Key Handle. Muy importante, el dispositivo U2F codifica el origen solicitante en el Key Handle”.
”Más tarde, cuando el usuario intenta autenticarse, el servidor envía el Key Handle del usuario de vuelta al navegador. El navegador envía este Key Handle y el hash del origen que solicita la autenticación. El dispositivo U2F se asegura de haber emitido este Key Handle para ese hash de origen en particular antes de realizar cualquier operación de firma. Si no hay coincidencia, no se devuelve ninguna firma. Esta comprobación de origen garantiza que las claves públicas y los Manejadores de Clave emitidos por un dispositivo U2F a un servicio en línea o sitio web concreto no puedan ser ejercidos por un servicio en línea o sitio web diferente (es decir, un sitio con un nombre diferente en un certificado SSL válido). Se trata de una propiedad de privacidad crítica: suponiendo que el navegador funcione como debería, un sitio puede verificar la identidad de forma sólida con el dispositivo U2F de un usuario sólo con una clave que haya sido emitida a ese sitio concreto por ese dispositivo U2F concreto. Si esta comprobación de origen no estuviera presente, una clave pública y un Key Handle emitidos por un dispositivo U2F podrían ser utilizados como un ‘supercookie’ que permite a múltiples sitios coludidos verificar fuertemente y correlacionar la identidad de un usuario en particular."
"El usuario puede utilizar el mismo dispositivo en varios sitios web, por lo que sirve como llavero web físico del usuario con varias claves (virtuales) para varios sitios proporcionadas desde un dispositivo físico. Utilizando el estándar abierto U2F, cualquier origen será capaz de utilizar cualquier navegador (o sistema operativo) que tenga soporte U2F para hablar con cualquier dispositivo compatible con U2F presentado por el usuario para permitir la autenticación fuerte.”
Historia
Universal second Factor (U2F) es un estándar abierto que refuerza y simplifica la autenticación de dos factores (2FA) mediante dispositivos especializados de bus serie universal (USB) o de comunicación de campo cercano (NFC). Su sucesor es el Proyecto FIDO2, que incluye el estándar W3C Web Authentication (WebAuthn) y el Client to Authenticator Protocol 2 (CTAP2) de la Alianza FIDO.
Aunque inicialmente fue desarrollado por Google y Yubico, con la contribución de NXP Semiconductors, ahora el estándar lo gestiona únicamente la Alianza FIDO.
Aquí encontrará una lista de todos los servicios que admiten claves de seguridad U2F.
Objetivo: autenticación fuerte y privacidad para la web
El ecosistema U2F está diseñado para proporcionar una autenticación fuerte de dos factores (2FA) a los usuarios en la web, preservando al mismo tiempo la privacidad del usuario.
El usuario lleva consigo un “dispositivo U2F” como segundo factor que le permite acceder a sus cuentas en línea. De este modo, estas cuentas pueden mantenerse seguras, especialmente frente a ataques de phishing.
Las claves de seguridad por hardware U2F son un gran logro, ya que garantizan que las personas y sus cuentas en línea se mantengan seguras en la web.
Comparación de las distintas opciones de autenticación de dos factores (2FA)
Dispositivo de seguridad: Claves de seguridad U2F
- Opción más segura
- La clave privada se almacena localmente en el dispositivo U2F
- Garantiza la protección contra ataques de intermediario (MITM) y phishing
- Requiere un dispositivo de hardware
- No requiere introducción manual
Aplicación Authenticator: TOTP
- Una aplicación genera códigos que sólo son válidos durante un breve periodo de tiempo (Google Authenticator, Authy, etc.)
- Es necesario introducirlo manualmente en cada inicio de sesión
- No requiere ningún dispositivo de hardware
- No protege el inicio de sesión en el dispositivo móvil porque la aplicación en el dispositivo móvil genera un segundo factor.
Aplicación Authenticator: HOTP
- Una aplicación genera códigos que son válidos hasta que se utilizan
- Hoy en día su uso es menos común, la mayoría de las aplicaciones autenticadoras (Google Authenticatorm Authy, etc.) utilizan TOTP por defecto
- Los códigos deben almacenarse de forma segura
- Es necesario introducirlos manualmente en cada inicio de sesión
- No requiere ningún dispositivo de hardware
- No protege el inicio de sesión desde el dispositivo móvil porque la aplicación genera un segundo factor.
Código SMS
- El código se envía por SMS
- Es necesario introducirlo manualmente en cada inicio de sesión
- La opción menos segura, ya que el SMS puede ser interceptado fácilmente
- No requiere ningún dispositivo de hardware
- No protege el inicio de sesión desde el dispositivo móvil, ya que el SMS contiene un segundo factor.
