Autenticación de dos factores

Los tres factores habituales son algo que usted sabe, algo que usted tiene y algo que usted es, y un segundo factor de verdad debe proceder de una categoría distinta de la del primero. La investigación de Google sobre el secuestro de cuentas encontró que una notificación en el dispositivo bloqueó el 99 % de los intentos de phishing masivo y el 90 % de los dirigidos, mientras que los códigos enviados por mensaje de texto lograron el 96 % y el 76 %. En un exchange, todo esto protege la cuenta, nunca las monedas.

Cómo funciona

La autenticación de dos factores convierte el inicio de sesión en dos afirmaciones independientes, y todo su valor reside en cuán independientes son realmente.

Códigos de una aplicación (TOTP). El estándar es el RFC 6238, publicado en mayo de 2011 sobre el esquema HOTP anterior, de 2005. En la configuración, el servicio le muestra un código QR que contiene un secreto compartido, normalmente de 160 bits. A partir de ese momento, tanto su teléfono como el servidor calculan un HMAC sobre ese secreto y el paso de tiempo actual de 30 segundos, lo truncan a seis dígitos y lo comparan. Nada viaja por la red para producir el código, razón por la cual una aplicación sobrevive a un SIM swapping que derrotaría los mensajes de texto.

La consecuencia que la gente pasa por alto es que el secreto se puede copiar. Haga una captura de pantalla del código QR de configuración y su segundo factor pasará a vivir donde sea que se sincronicen sus fotos. Guarde el secreto de TOTP en la misma entrada del gestor de contraseñas que la contraseña, y tendrá dos códigos protegidos por una sola contraseña maestra, que es un único factor disfrazado.

Códigos por mensaje de texto. El código viaja por la red telefónica y depende de que un empleado del operador no sea engañado ni sobornado. La SP 800-63B del NIST clasifica los códigos de un solo uso enviados por la red telefónica pública como un autenticador restringido, lo que significa que los servicios que los usan deben reconocer el riesgo. Los códigos por mensaje de texto siguen siendo mucho mejores que nada.

Claves de seguridad y passkeys (FIDO2, WebAuthn). Aquí el autenticador genera un par de claves por sitio web, conserva la clave privada y firma un desafío que incluye el origen del sitio. La firma no vale nada para ningún otro dominio, así que una página de inicio de sesión imitadora no recoge nada que pueda reutilizar. WebAuthn se convirtió en una Recomendación del W3C en marzo de 2019 y está admitido por todos los navegadores principales. Una passkey es el mismo protocolo, con la credencial sincronizada entre sus dispositivos en lugar de estar atada a una sola pieza de hardware.

La recuperación es el cuarto factor que nadie configura. Una clave de seguridad perfecta sirve de poco si la cuenta todavía se puede restablecer por correo electrónico y un mensaje de texto. Los atacantes saben que deben atacar la vía de recuperación, no el inicio de sesión.

Por qué importa cuando compra bitcoin

La autenticación de dos factores protege una cuenta, y una cuenta es un derecho frente a una empresa. Mantenga esa distinción presente por encima de todo lo demás en esta página.

Configúrelo en este orden en cualquier exchange que use. Elija una contraseña larga y única. Registre una clave de seguridad si la plataforma admite una, o si no, una aplicación de autenticación, y nunca mensajes de texto como su factor principal. Luego abra los ajustes de recuperación de la cuenta, que suelen estar en una página aparte, y elimine el número de teléfono como método de restablecimiento. Imprima los códigos de respaldo en papel y guárdelos en algún lugar al que no llegue un incendio de su casa. Por último, añada una lista blanca de direcciones de retiro para que una sesión comprometida no pueda inventar un destino.

Luego ocúpese del punto ciego. Las claves de API se saltan por completo el inicio de sesión, y con él, cada factor que acaba de configurar. Un bot de trading, un rastreador de portafolio o una herramienta fiscal que en su momento pidió acceso de solo lectura puede conservar una clave que nunca caduca. Revise la sección de API de cada cuenta de exchange que tenga, elimine las claves que no reconozca, deniegue el permiso de retiro en todas ellas, y vincule las claves a una dirección IP fija donde la plataforma lo permita.

Los exchanges reseñados en este sitio difieren en lo que ofrecen. Kraken y Coinbase admiten claves de seguridad de hardware y passkeys. Bitstamp, Binance y Bitpanda admiten aplicaciones de autenticación como mínimo. River y Swan, ambos construidos en torno a las compras recurrentes, se apoyan en controles a nivel de cuenta en lugar de en API de trading, lo que elimina toda una categoría de exposición. Ninguna de estas diferencias cambia el objetivo final: compre, y luego retire a una billetera que usted controle, donde no hay ningún inicio de sesión que defender.

Una billetera de hardware no está protegida por la autenticación de dos factores, ni necesita estarlo. Sus equivalentes son el PIN del dispositivo, que borra los datos después de un número fijo de intentos fallidos, y una frase de contraseña opcional.

Lo que las mediciones muestran en realidad

Google, en colaboración con la Universidad de Nueva York y la Universidad de California en San Diego, estudió intentos reales de secuestro de cuentas de Google y publicó los resultados en mayo de 2019.

Vale la pena leer las cifras como una clasificación y no como valores absolutos. Contra bots automatizados, todos los métodos probados bloquearon el 100 %. Contra el phishing masivo, una notificación en el dispositivo bloqueó el 99 % y un código por mensaje de texto el 96 %. Contra los ataques dirigidos, donde una persona trabaja específicamente sobre su cuenta, la notificación en el dispositivo se mantuvo en el 90 % y el código por mensaje de texto cayó al 76 %.

Lea esa última cifra con atención. Aproximadamente una cuarta parte de los ataques decididos logró superar el segundo factor más popular del mundo. La propia respuesta de Google para su personal fue exigir claves de seguridad físicas para más de 85.000 empleados, tras lo cual la empresa informó de que no se había confirmado ninguna toma de control de cuentas por phishing.

La traducción práctica para un tenedor de bitcoin es esta: cualquier segundo factor es mejor que ninguno, una aplicación es mejor que un mensaje de texto, y una clave de seguridad es la única opción que elimina la categoría del phishing en lugar de reducirla.

Autenticación de dos factores frente a frase de contraseña

Una frase de contraseña en una billetera de hardware suele describirse como una autenticación de dos factores para su bitcoin, y la analogía se rompe de una manera que le cuesta dinero a la gente. La autenticación de dos factores es una comprobación realizada por el servidor de una empresa, que se puede restablecer, recurrir y para la que hay soporte. Una frase de contraseña BIP39 es una entrada a la propia derivación de claves: una frase de contraseña distinta produce un conjunto de claves completamente distinto, sin ningún registro en ninguna parte de que el otro conjunto exista. Nadie puede verificarlo, nadie puede recuperarlo, y no hay ninguna cola de soporte. Olvide el segundo factor de su exchange y presentará una solicitud de recuperación. Olvide su frase de contraseña y las monedas desaparecen para siempre, aunque usted siga conservando las veinticuatro palabras semilla.