• Inicio

  • Esta es la página índice del foro

Bienvenido a Indetectables.net

Lo hemos dicho muchas veces. El phishing, especialmente el dirigido a personas muy concretas, se ha convertido en la principal herramienta que están utilizando los cibercriminales.Y si bien hasta hace no demasiado, eran un tipo de ataques generalizados, en estos momentos los grupos de hackers apuntan a perfiles cada vez más concretos, que tienen acceso a información sensible o que pueden llegar a tenerlo en algún momento.

¿Pero quiénes son estos perfiles? ¿Qué puestos ocupan? ¿Qué poder tienen dentro de las empresas y por qué interesan a los cibercriminales? Es lo que revela un nuevo estudio de Proofpoint, en el que se destaca que los profesionales del área I+D de las empresas, además de los ingenieros, se han convertido en el objetivo número 1 para estos grupos.

Tras estos, curiosamente se encuentran los empleados que ocupan los rangos más bajos dentro de la organización, pero que al ser atacados, permiten a los cibercriminales subir escalones fácilmente dentro de la estructura. En último lugar, mandos intermedios y ejecutivos, sobre el papel más familiarizados con este tipo de ataques.

Si esto llama la atención, lo llama aún más cómo ha crecido este número de ataques. Según esta firma de ciberseguridad, nada menos que un 944% por compañía en el último año, lo que convierte este tipo de ataque en el más utilizado a la hora de intentar encontrar brechas de seguridad en una empresa.

Otros ataques que han crecido en el último año son la ingeniería social basada en web (150%) y las estafas dirigidas en redes sociales (442%). Por otro lado, como también apunta un reciente informe de Kaspersky, bancos y entidades de crédito siguen siendo el objetivo número uno para todo tipo de ataques. De hecho en el último año, este tipo de compañías han sufrido más ataques de phishing en el último años, que la suma del resto de sectores tomados en su conjunto.

por Rodolfo Wed, 24 Apr 2019 11:28:37 +0000

Tchap

Un investigador de seguridad ha logrado acceder a la aplicación de mensajería cifrada del gobierno francés, Tchap, la que -en teoría- solo pueden usar funcionarios y políticos franceses con cuentas de correo electrónico asociadas con identidades gubernamentales.

Tchap es una aplicación de mensajería de código abierto bajo Android y cifrada de extremo a extremo, que el gobierno francés creó para evitar la dependencia de aplicaciones comerciales como WhatsApp, Facebook Messenger o Telegram y salvar las preocupaciones de que las agencias extranjeras puedan usarlas para espiar sus comunicaciones.

Tchap no pretende ser un sistema de comunicaciones clasificado; se ejecuta en teléfonos Android estándar y utiliza la Internet pública, pero todos los datos que circulan por ella se mantienen en servidores franceses y solo se puede acceder mediante cuentas de correo específicas.  

El problema es que el investigador encontró una brecha de seguridad que podría permitir a cualquier persona registrar una cuenta en la aplicación Tchap y acceder a los grupos y canales sin necesidad de una dirección de correo electrónico oficial. De hecho, explotó un error de validación de correo electrónico.

Tchap está basado en la app de chat Riot.im del proyecto de código abierto Matrix y aún se encuentra oficialmente en fase “beta”. Recordemos que Riot y Matrixfueron comprometidos hace unos días por un atacante desconocido que se hizo con hashes de contraseñas, tokens de acceso y claves GPG usadas para firmar paquetes. El ataque sobre Matrix fue tan importante que los desarrolladores se vieron forzados a desconectar totalmente su infraestructura de producción por varias horas y cerrar las sesiones de todos los usuarios de Matrix.org.

DINSIC, la dirección interministerial francesa para sistemas de información que maneja el Tchap, ha respondido al fallo y está aceptando los comentarios de los investigadores de seguridad para ayudar a que la aplicación sea más segura, pero, al igual que muchos proyectos de “transformación digital”, éste se realizó con una planificación previa de la seguridad demasiado pequeña.

por Juan Ranchal Wed, 24 Apr 2019 07:37:44 +0000

Parches Abril 2019 Microsoft

Soluciones de seguridad de Avira, Avast, AcraBit, Sophos y McAfee, han sido afectadas por los parches Abril 2019 de Microsoft, la última actualización de seguridad mensual del gigante del software.

Microsoft tiene un problema con las actualizaciones de sus sistema operativos, ya que en demasiadas ocasiones además de resolver errores producen otros. Unas veces son achacables a distintos proveedores de software y otras, como las dos últimas actualizaciones generales de Windows 10 que se distribuyeron con graves problemas de estabilidad, directamente son responsabilidad de Microsoft.

Los parches Abril 2019 ha sido una publicación mensual importante por el gran número de vulnerabilidades corregidas (74 enumeradas en CVE) que afectan a un amplio número de productos y servicios Microsoft y en particular, ha solucionado 13 vulnerabilidades críticas para los sistemas operativos.

Sin embargo, la actualización ha traído problemas a un buen número de soluciones de seguridad como Sophos, Avira, ArcaBit, Avast y McAfee, con problemas al iniciar la sesión en Windows 10, Windows 7, 8.1, Server 2008 R2, Server 2012 y Server 2012 R2. Y es un problema porque los usuarios pierden confianza en las actualizaciones y las retrasan, cuando las de seguridad son de obligada instalación.

Parece ser que el problema reside en los cambios realizados por Microsoft en el CSRSS (“subsistema de tiempo de ejecución cliente / servidor”), un componente central de Windows que coordina y administra las aplicaciones Win32. Las aplicaciones antivirus están intentando obtener acceso a algún recurso, pero no pueden hacerlo porque ya han tenido acceso exclusivo al recurso.

Microsoft ha comenzado a agregar estos clientes antivirus a su lista de programas que se ven afectados y evitar que los sistemas operativos dejen de responder cuando están en la pantalla de inicio de sesión de Windows.

El modo seguro no se ve afectado, por lo que una solución para impedir los errores es iniciar el equipo en este modo para desinstalar los antivirus de forma temporal hasta que Microsoft o los proveedores afectados publiquen una actualización de software.

por Juan Ranchal Sun, 21 Apr 2019 22:02:31 +0000

Cómo se gestiona el control de cuentas de usuario en Windows

El control de cuentas de usuario en Windows es una capa de seguridad que previene de cambios no autorizados en el sistema operativo. Estos cambios pueden ser realizados por usuarios sin permisos suficientes, aplicaciones, controladores y, lo peor, por cualquiera forma de malware que se haya introducido (o lo pretenda) en el equipo.

El Control de cuentas de usuario se asegura de que los cambios que potencialmente afecten a la seguridad se realicen solo con la aprobación del administrador. Si los cambios no son aprobados por él no se ejecutan y el sistema permanece sin cambios. 

El funcionamiento del lado del usuario es simple. Cuando ejecutas un archivo, una aplicación o algún elemento de la configuración que esté a punto de realizar cambios importantes en el sistema, la función mostrará una notificación similar a la de la imagen:

Cómo se gestiona el control de cuentas de usuario en Windows

La solicitud de la UAC muestra el nombre del programa que está a punto de realizar un cambio de sistema que requiere la aprobación de un administrador. También muestra el editor del programa y el origen del archivo ejecutable. Un enlace a “más detalles” informa del certificado del editor y el acceso a la gestión de estas notificaciones que veremos después. Si la aplicación es de confianza y se ejecuta desde una cuenta de administración solo es necesario autorizar la petición

Si el acceso se ha realizado desde una cuenta sin privilegios de administración la notificación será diferente y, siguiendo el ejemplo de Windows 10, la solicitud del UAC solicita el PIN del administrador (si está establecido) o la contraseña. En otros sistemas como Windows 7 y Windows 8.1, el indicador de UAC siempre solicita la contraseña del administrador.

Cómo funciona el control de cuentas de usuario en Windows

En Windows, al contrario de como sucede de forma general en otros sistemas como Linux, las aplicaciones se ejecutan de forma predeterminada sin ningún permiso administrativo. Tienen los mismos permisos de una cuenta de usuario estándar, no pueden realizar ningún cambio en el sistema operativo, sus archivos de sistema o la configuración del registro. Además, no pueden cambiar nada que sea propiedad de otras cuentas de usuario. Las aplicaciones solo pueden cambiar archivos propios y en el registro los exc, los relativos al usuario  y la configuración del registro o los archivos del usuario y la configuración del registro.

Cuando una aplicación requiere cambios que afecten a otras cuentas de usuario, modificaciones a los archivos y carpetas del sistema de Windows o instalación de nuevo software, se muestra un indicador de UAC, que solicita el permiso. Si el usuario niega la autorización el cambio no se llevará a cabo. Si el usuario lo autoriza (e ingresa la contraseña del administrador cuando se requiera), la aplicación recibe permisos administrativos y puede hacer los cambios del sistema que desee.

Estos permisos se otorgan solo hasta que la aplicación deja de ejecutarse o el usuario la cierra. Lo mismo ocurre con los archivos que activan una solicitud de UAC. Hay muchos cambios que requieren privilegios administrativos en Windows, dependiendo de cómo esté configurado el UAC en tu computadora puede activarse en muchas acciones:

  • Ejecutando una aplicación como administrador.
  • Cambios en la configuración del sistema, archivos en las carpetas de Windows o Archivos de programa.
  • Instalar y desinstalar controladores y aplicaciones.
  • Ver o cambiar las carpetas y archivos de otro usuario.
  • Agregar o eliminar cuentas de usuario.
  • Configurando la actualización de Windows.
  • Cambiar la configuración del Firewall de Windows.
  • Cambiar la configuración de la misma UAC.
  • Cambiar el tipo de cuenta de un usuario.
  • Ejecutando el Programador de Tareas.
  • Restaurando archivos de sistema respaldados.
  • Cambiando la fecha y hora del sistema.
  • Configuración de controles parentales o seguridad.
  • Instalación de controles ActiveX (en Internet Explorer).
  • Etc.

Cómo se gestiona el Control de cuentas de usuario en Windows

Hay dos maneras básicas de configurar esta función, una básica desde la configuración de usuario y otra más avanzada mediante políticas de grupo.

La gestión más sencilla se realiza accediendo al UAC desde el “Panel de control > Seguridad y mantenimiento > Cambiar configuración de Control de cuentas de usuarios”. También se accede desde “ejecutar > msconfig > herramientas”. Más directo es utilizar la búsqueda de Windows. En todos los casos nos encontraremos con la herramienta que ves en la imagen:

Cómo se gestiona el control de cuentas de usuario en Windows

Frente al original de Windows Vista que solo ofrecía dos niveles, las versiones más recientes de Windows ofrecen cuatro niveles para elegir según el tipo de usuario y el uso del equipoCada nivel se explica por sí solo y va desde el deshabilitado (no recomendado) a la máxima protección donde la UAC pedirá autorización ante cualquier cambio, cuando las aplicaciones intenten instalar software o hacer cambios en el equipo y/o en la configuración de Windows.

Para usuarios avanzados y administradores la gestión más completa se realiza con el editor de políticas de grupo, accesibles desde el “Menú de Inicio > ejecutar > gpedit.msc”. Una vez en el editor navega a “Configuración del Equipo > Configuración de Windows > Configuración de seguridad > Opciones de seguridad”. Busca las directivas de Control de cuentas de usuario para adecuar su uso a tus necesidades. Hay una decena que puedes gestionar:

Cómo se gestiona el control de cuentas de usuario en Windows

Interesante como habrás visto. Aunque a veces sus múltiples notificaciones puedan resultar pesadas recomendamos mantenerlo activado al menos en sus niveles básicos.

por Juan Ranchal Wed, 17 Apr 2019 22:02:02 +0000

El nuevo conjunto de parches mensual de Microsoft corrige 61 vulnerabilidades

Los hackers tienden a concentrarse en productos, servicios y webs con la mayor tasa de usuarios posible. Es por eso que, además de buscar acceso a correos electrónicos y plataformas de comercio electrónico, también buscan agujeros en servicios que puedan proporcionarles todo tipo de información útil para sus ataques. Es el caso de Microsoft Office, que según datos de Kaspersky Lab recogidos por ITProPortal, se ha convertido en uno de sus objetivos favoritos.

De hecho, el 70% de todas las amenazas que registró la compañía durante el último trimestre de 2018 estaban, de una u otra manera, relacionados con Office. Es un 400% más que la cifra de ataques relacionados con la suite de ofimática registrados dos años antes. Entonces, las vulnerabilidades relacionadas con Office eran alrededor del 16%.

Eso sí, los hackers explotan muy pocas veces las vulnerabilidades que hay en el seno de Office, sino las de los componentes relacionados, que se consideran el eslabón más débil. De ellas, las dos más explotadas se encontraron en el antiguo Editor de ecuaciones de Office, lo que hace pensar a los investigadores de seguridad de Kaspersky Lab que los hackers buscan bugs “sencillos y lógicos“.

Esta es la razón de que ambas vulnerabilidades sean las que cuentan con los bugs más explotados de Office. Son fiables y “no se han corregido en ninguna de las versiones de Word lanzadas en los últimos 17 años. Y, lo que es más importante, desarrollar un exploit para cualquiera de las dos no precisa contar con habilidades avanzadas“. Eso sí, para explotarlas, se necesita un archivo de Office.

Generalmente, para que este tipo de vulnerabilidades funcione, se necesita que la víctima descargue y ejecute un archivo específico, que se suele distribuir habitualmente por email. Así que es aconsejable estar atentos cuando se reciban correos con archivos asociados, hasta estar seguros de su contenido, y de la fiabilidad de su remitente.

por Rodolfo Wed, 17 Apr 2019 07:32:19 +0000

double kill es una vulnerabilidad zero-day hallada en Internet Explorer

Internet Explorer sigue dando disgustos, tanto a sus usuarios como a los que no lo son. En este sentido, un grupo de investigadores de seguridad acaban de hacer público el descubrimiento de un nuevo zero-day exploit en el veterano navegador de Microsoft. Y no precisamente uno cualquiera.

Como explican los investigadores que han trabajado sobre el caso, la nueva vulnerabilidad permite a cualquier atacante tener acceso al ordenador del afectado, pudiendo robar todo tipo de archivos con facilidad. Pero esto no es lo más interesante. Al parecer el agujero es del tal magnitud, que ni siquiera hace falta tener instalado Internet Explorer para poder ser atacado, toda vez que Microsoft tradicionalmente utiliza parte del código de su navegador web en otras partes de su sistema.

La vulnerabilidad, que de momento no se ha parcheado, afecta a los usuarios de Windows 7, Windows 10 y Windows Server 2012 R2, así que sí, usuarios de Windows XP: en esta ocasión estáis a salvo. Al parecer el problema se deriva de la forma en la que IE gestiona los archivos MHT y además de permitir que los hackers roben información confidencial, abre la puerta a la instalación de todo tipo de software espía.

Los archivos MHT (la forma que toman algunas páginas web y sus archivos relacionados cuando las descargamos en el ordenador), están pensados para que sea Internet Explorer el que los abra por defecto. Por lo tanto, un e-mail que contenga un archivo malicioso de este tipo o incluso cualquier programa de mensajería instantánea, puede explotar sin demasiadas complicaciones este “agujero”.

Por otro lado y aunque es cierto que las nuevas versiones de Internet Explorer disponen de un sistema de seguridad que alertan al usuario si detectan un comportamiento extraño, un archivo malicioso MHT puede incluir líneas de código que desactiven esta advertencia.

Como también señalan los investigadores, este problema de seguridad fue reportado a Microsoft el pasado 27 de marzo. Sin embargo la compañía de Redmond ha afirmado en su respuesta que de momento no contempla corregir este fallo de seguridad de forma inmediata y que probablemente habrá que esperar a la próxima versión de Internet Explorer para verlo solucionado.

por Rodolfo Tue, 16 Apr 2019 10:14:12 +0000

Outlook.com

Microsoft ha informado de una grave violación de seguridad en su servicio de correo web, Outlook.com.

Un grupo desconocido de piratas informáticos accedieron desde el 1 de enero al 28 de marzo de 2019 a los datos de un número indeterminado de usuarios del webmail de Microsoft, tras lograr hacerse con las credenciales de un representante de soporte al cliente.

Los usuarios afectados de Outlook.com han recibido un correo electrónico que detalla el problema. Según Microsoft, cualquier persona que tuviera las credenciales pudo ver las direcciones de correo electrónico, nombres de carpetas, líneas de asunto de los correos electrónicos y las direcciones de correo electrónico de las personas con las que se comunicaba el usuario, pero no pudo ver ningún contenido de correo electrónico ni archivos adjuntos.

Microsoft dice que un solo un “subconjunto limitado” de cuentas se han visto afectados por una violación de las direcciones de correo electrónico @msn.com, @hotmail.com y las propias del servicio, @outlook.com. Microsoft no ha explicado cómo los ciberdelincuentes pudieron mantener acceso a los datos durante tres meses en lo que es una grave violación de la seguridad de la que lamentablemente se repite semana a semana. 

Todo apunta que la información de cuentas están siendo aprovechadas para envío de correos que buscan suplantación de identidad (phishing), aumento de spam y otros contenidos molestos. Los usuarios que reciben esta alerta en sus cuentas Outlook.com deben ser extremadamente cuidadosos al interactuar con los correos electrónicos, verificando que fueron enviados por una dirección legítima y que los enlaces incluidos no los redirigen a sitios web que a su vez pueden recopilar información de inicio de sesión o directamente malware.

Aunque la violación de seguridad no comprometió la información de inicio de sesión del correo electrónico de los usuarios, Microsoft recomienda que sus usuarios restablezcan las contraseñas de acceso al servicioEsta acción se puede realizar en el menú de configuración de seguridad de la cuenta.

Outlook.com es la aplicación de correo web creada desde cero para reemplazar a Hotmail y con la que Microsoft puso toda la carne en el asador para frenar el auge del Gmail de Google. Microsoft llegó tarde a la transición de los clientes de correo electrónico de escritorio a sus equivalentes web, lo que unido a la fuerza de Google en todo lo que significó servicios de Internet, no pudo impedir que Gmail se destacara como gran líder en webmail.

por Juan Ranchal Sun, 14 Apr 2019 22:02:46 +0000

fallos graves en WPA3

Un grupo de investigadores ha encontrado fallos graves en WPA3, la nueva generación de la tecnología Wi-Fi Protected Access destinada a añadir mayor seguridad en el acceso y transferencia de datos en redes personales y profesionales, que usen la principal norma mundial para conectividad inalámbrica.

Ha pasado casi un año desde el anuncio de WPA3 y aún con un despliegue mínimo llegan malas noticias para toda la industria y los usuarios, ya que una investigación conocida como DragonBlood ha descubierto que se pueden hackear las contraseñas Wi-Fi establecidas bajo esta norma e incluso, acceder a redes inalámbricas de terceros sin conocer las contraseñas.

Nada es invulnerable y aunque WPA3 es una mejora enorme frente a anteriores versiones del estándar, la investigación  plantea serias preocupaciones del futuro de la seguridad inalámbrica, particularmente entre dispositivos de Internet de las Cosas de bajo coste que van a llegar por miles de millones en los próximos años y que será más costoso parchear.

Las vulnerabilidades descubiertas podrían permitir a los atacantes hackear contraseñas de la red Wi-Fi de una manera similar a como se hacía con WPA2, aprovechando el periodo de transición entre las normas. 

Dos de ellos son ataques de canal lateral basados en vulnerabilidades CVE-2019-9494 y CVE-2019-9494 contra el método de codificación de contraseñas. También se ha documentado un ataque de denegación de servicio que puede iniciarse sobrecargando un punto de acceso inalámbrico, omitiendo el mecanismo anti-obstrucción de SAE que se suponía evitaría los ataques DoS. 

Como prueba de concepto, los investigadores han publicado cuatro herramientas separadas en GitHub que pueden usarse para probar las vulnerabilidades:

Los investigadores entregaron la documentación a la Wi-Fi Alliance, la organización sin fines de lucro que certifica los estándares y productos de Wi-Fi. La misma ha reconocido los fallos y dice estar trabajando con los proveedores para parchear los dispositivos con certificación WPA3 existentes a base de actualizaciones del firmware.

Lo peor del asunto es que los investigadores han criticado la especificación WPA3 en su totalidad y el proceso que llevó a su formalización por parte del grupo responsable. “A la luz de nuestra investigación y los ataques exitosos, creemos que WPA3 no cumple con los estándares de un protocolo de seguridad moderno, describen los autores, investigadores de varias universitarias. 

Nos las prometíamos muy felices con WPA3 y las mejoras que de seguridad que incorpora, pero esta investigación muestra fallos en el mismo diseño de la norma. Un grave problema teniendo en cuenta los 9.000 millones de dispositivos que se calculan se conectan bajo redes inalámbricas Wi-Fi. Lo único positivo es que la nueva norma apenas está extendida y aunque no puedan solucionarse completamente por residir en su mismo diseño, al menos podrá mitigarse. Siendo realistas y según la investigación, WPA4 no tardará en desarrollarse.

Más información | DragonBlood

por Juan Ranchal Thu, 11 Apr 2019 22:03:55 +0000

La sexta edición de Mundo Hacker Day abrirá sus puertas el próximo 24 de abril en Kinépolis Madrid con la presencia de más de 3.000 expertos en ciberseguridad  y con un tema central de plena actualidad: ¿es posible hackear la democracia?

Gracias a la tecnología, la sociedad ha alcanzado los máximos niveles históricos en cuanto a disponibilidad de información y libertad de expresión. Sin embargo, la democracia puede estar amenazada por organizaciones cibercriminales capaces de manipular de manera silenciosa nuestro universo digital: ataques a la privacidad, recopilación de información personal y perfilado de individuos, granjas de producción de noticias falsas, o incluso hackeo de resultados y boicot electoral.

Por todo ello, Mundo Hacker Day 2019 contará con los mayores expertos en tecnología, comunicación y legislación de España para debatir sobre la lucha contra la manipulación y el cibercrimen, las amenazas más peligrosas que acechan a la libertad de pensamiento de la sociedad y las posibles fórmulas para combatirlas.

Otros temas sobre los que tratará el evento apuntan, por ejemplo, a:

  • ¿Puede alguien acceder a mis mensajes de WhatsApp y leerlos? La aplicación WhatsApp Web es cada vez más utilizada por los usuarios de la herramienta de mensajería pero no es tan segura como creemos.
  • ¿Es el todo-conectado una puerta abierta a los ciberdelicuentes? Cada vez confiamos más en dispositivos electrónicos conectados en nuestro día a día, mucho más allá del móvil o el PC
  • Las contraseñas ya no sirven de nada. El 90% de las contraseñas no son suficientemente robustas por lo que la sensación de seguridad con la que contamos en nuestras actividades rutinarias es falsa.
  • Las comunicaciones clandestinas del Yihadismo ya se usaban en la Grecia clásica. Se hará un recorrido histórico por los métodos de comunicaciones encubiertas (COVCOM: Covert Communications) utilizadas por servicios de inteligencia y todo tipo de redes clandestinas.
  • ¿Sirven de algo los tests de intrusión para reducir los ataques en las empresas?

En esta edición, además, se concederán los primeros Mundo Hacker Awards, los galardones con los que la organización quiere reconocer a las empresas, proyectos y profesionales más destacados en el mundo de la ciberseguridad durante el último.

 

por Rodolfo Thu, 11 Apr 2019 09:42:21 +0000

Google ha anunciado una función que permite convertir smartphones Android (versión 7.0 o superior) en llaves de seguridad para otros equipos usando la función de autenticación de dos factores o 2FA. La función utiliza los protocolos de la Alianza FIDO, que se han convertido en un estándar de la industria para claves de seguridad por hardware.

Google realizó un experimento el año pasado dentro de su propia organización, concluyendo que las claves de seguridad por hardware eran impermeables a los ataques de phishing, uno de los más utilizados por los piratas informáticos. Ello llevó a la compañía a crear y vender su propio token de seguridad de hardware a través de las llaves de seguridad, Titan Security Keys. Son de obligado cumplimiento en Google y cuentan con la garantía de que, hasta el momento, ninguno de sus 85.000 empleados han sido víctima de ataques.

El uso principal de este tipo de llaves es la autentificación de procesos de inicio de sesión, para lo que necesitaremos tener físicamente una de las llaves. Se mejora la seguridad así respecto a la autenticación en dos pasos (el clásico SMS que te envía el banco para validar una operación), las tarjetas de coordenadas y, por supuesto, la clásica combinación de usuario y contraseña.

A priori, las Titan Security Keys también son invulnerables a ataques de firmware, dado que incorporan una solución que verifica que es auténtico antes de cada proceso. Además funcionan con la mayoría de navegadores y servicios (cualquiera que soporte el estándar FIDO) y se configuran directamente desde una cuenta de Google.

Smartphones Android como llaves de seguridad 2FA

Aunque las llaves físicas son valoradas y utilizadas en segmentos profesionales, seguramente no todos los usuarios de a pie están dispuestos a pagar entre 20 y 50 dólares que cuestan o no quieran lidiar con la molestia de transportar y usar un dispositivo hardware adicional. Por ello ha creado esta función que permite convertir un teléfono personal en una llave de seguridad.

La implementación de esta característica utiliza los estándares FIDO, lo que significa que será compatible con cualquier navegador o sistema operativo que admita esos estándares. Por ahora solo soporta Chrome, pero Firefox y el próximo navegador Edge Chromium deberían admitirlo en un futuro próximo. También Windows 10, teniendo en cuenta que Microsoft es miembro de la alianza FIDO.

Cómo activar la función

Necesitas un smartphone con la versión 7 o superior de Android; una computadora que ejecute Windows 10, Chrome OS o macOS X; conectividad Bluetooth habilitada y el navegador Chrome. Con el Bluetooth activado también en el smartphone sigue estos pasos:

  • Añade una cuenta Google a tu terminal Android si no lo tienes hecho ya.
  • Asegúrate de tener activado la verificación en dos pasos o 2SV
  • En tu computadora, accede a la configuración de 2SV y haz clic en “Agregar clave de seguridad”.
  • Selecciona tu terminal Android conectado en la lista de dispositivos elegibles.

Google recomienda registrar una clave de seguridad de respaldo (ya sea un token de hardware o un terminal) por si pierdes la clave principal. Si pierdes la clave de seguridad principal y no tienes una copia de seguridad, es posible que no puedas volver a ingresar a tu cuenta de Google o al servicio para el que habilitaste la autenticación de dos factores basada en la clave de seguridad.

Aún está en fase beta y de momento solo funciona en Chrome, pero es una función interesante para combatir ataques como phishing y aumentar la seguridad en autenticaciones sin tener que usar llaves de seguridad por hardware dedicadas. Más información | Google

por MuySeguridad Thu, 11 Apr 2019 09:29:00 +0000