Doble factor Autenticaci贸n: +seguridad +protecci贸n

El doble factor de autenticaci贸n (ver glosario) es una capa de seguridad extra que brinda un elemento adicional de protecci贸n al acceder a las cuentas.
Tiene diversos formatos:

  • un token generado en la nube (por ejemplo google authenticator)
  • un SMS enviado al celular
  • una clave publica que se almacena por 煤nica vez en un servidor y se comparte con aquellas aplicaciones validadas
  • o algo tan simple como un c贸digo enviado por email.

En la mayor铆a de los casos, al momento de ingresar a una aplicaci贸n, se solicita usuario/clave + c贸digo 2-FA (justamente el segundo factor que se genera en alguno de los formatos antes descriptos).

Criptonautas cuenta con el 2FA para acceder a tu cuenta. Para habilitarlo (opci贸n mas que recomendada) podes seguir los siguientes pasos:

  1. Ir a perfil >> usuario >> Preferencias

  2. Una vez all铆 presionas en Seguridad >> gestionar la autenticaci贸n de dos factores

  3. Tipear la clave de acceso al foro Criptonautas, presionar continuar. Escribir un nombre de autenticaci贸n (el que quieras) y presionar en + A帽adir autentificador

  4. El siguiente paso es instalar en tu celu (si es que no la tenes) el Authenticator de Goo***.

  5. El ultimo paso es abrir en el celu la app de Authenticator, presionar el bot贸n (+) e indicar que vas a crear la clave con QR. Eso abre la c谩mara y tenes que escanear el QR que te presenta la pagina de seguridad del foro.
    Una vez creada la clave van a aparecer 6 n煤meros cambiantes de a 30 segundos o 1 minuto, que tenes que tipearlos en el campo c贸digo del formulario anterior y presionar 鈥渁ctivar鈥.

Fin del proceso.

Cuando quieras ingresar al foro, si la sesion se ha cerrado o si lo haces desde otro dispositivo, te va a pedir el usuario, la clave y el codigo del G*** Authenticator para liberar el acceso.

Principales ventajas

  • Si alguien hackea tu cuenta, no va a poder ingresar sin el c贸digo de seguridad de tu celular
  • Esta robustez te va a permitir en un futuro acceder a ciertos temas que requieren ese nivel de seguridad dentro del foro
  • Un plus es, si te pasa como a mi que no sabia de la existencia del 2FA en mis aplicaciones, esto te sirve para aprender y securizar todas las demas aplicaciones como el acceso a redes sociales, a email y otras tantas que lo permiten ya como un standard.

Ojala sume. :love_you_gesture:

Dejanos tus comentarios sobre la utilidad de este instructivo y si pudiste hacerlo sin problemas. Recuerda que todos estamos aprendiendo, as铆 que si en algo se puede mejorar, por favor compartilo y lo tendremos en cuenta.

10 Me gusta

Excelente info Claudio!!!
Aprovecho y consulto: que pasa si pierdo o cambio el celu? Se puede cambiar la autenticacion? Va asociada a la cuenta de google o al aparato?
Esta info puede sumar para prevenir o reaccionar ante dicha situacion.

En ese caso Google no parecer铆a ser la mejor opci贸n, sugerimos alternativas en posteos previos (personalmente uso Aegis).

Cada app tiene sus m茅todos de recuperaci贸n y almacenamiento. Sin backup no suele ser seguro, porque es muy probable que el celular se vea extraviado, se rompa o lo que sea.

Pero con backup es un must como un gestor de contrase帽as.

4 Me gusta

Gracias!

Voy a revisarlo. GA no me gusta, en parte por lo del backup (perdes celu y tenes que empezar todo de vuelta) y en parte porque haces click en GA y accedes鈥 zero password o barrera.

Probar茅 Aegis y les cuento.

2 Me gusta

En mi caso que utilizo iOS tengo Raivo y la verdad estoy conforme, a pesar que no puedo utilizarlo con todas las aplicaciones.

Opciones para recuperar 2FA

  1. Cuando emparejas el 2FA con la aplicaci贸n o servicio te muestra un c贸digo QR a trav茅s de tu clave secreta, y tambi茅n da c贸digos de copia de seguridad. (Guardarlos de manera segura).

  2. Exportar desde el menu del 2FA un Archivo de copia de seguridad (Proteger el archivo con un password) y guardarlo en la computadora o disco duro.

  3. Sincronizar con la nube tu cuenta, te da la posibilidad de que otros c贸digos nuevos vuelvan a aparecer autom谩ticamente, al restablecer tu cuenta en otro dispositivo.

  4. En caso de no utilizar ninguno de estos tres m茅todos, se deber铆a comprobar la opci贸n para restaurar el servicio o ponerse en contacto con el proveedor para deshabilitar la cuenta.

1 me gusta

Respuesta simple: se vincula con el aparato (lamentablemente). Es decir: fuera celu, fuera claves.

Ese es un problema si el evento es robo o extrav铆o (obviamente no planificados).

Ahora bien (lo digo con conocimiento de causa porque lo vivi). Cambias celu. Y tenes acceso al anterior. Lo que podes hacer es migrar las claves. Como?

  1. abr铆s GA, pantalla principal
  2. presionas los 3 puntitos y dice 鈥渢ransferir cuentas鈥
  3. elegis 鈥渆xportar cuentas鈥
  4. te deja elegir las que queres exportar (las tildas)
  5. de cada cuenta que marques genera un QR
  6. desde el OTRO celu entras en GA y escaneas dicho QR y listo.

Mientras lo escrib铆a pensaba en todos los huecos de seguridad que tiene este proceso. Ni hablar si te roban el equipo o se rompe y queda inaccesible.

Pr贸ximo paso: probar Aegis. (continuar谩 en breve鈥)

3 Me gusta

Aegis es open-source y permite exportar las claves de manera cifrada, segura.

Lamentablemente ni Google ni Apple son en esencia criptonautas, porque no valoran ni respetan nuestros datos ni privacidad (y lucran con eso).

Aegis es super simple, clara e intuitiva. Lo 煤nico que le faltar铆a para destruir el sistema de Google es transformarse en un producto empresarial, espero que nunca lo haga :grimacing:

1 me gusta

Mi experiencia con AEGIS (se baja de link)

Aclaro que tengo Android v13 en un Samsung. Y tengo GA instalado con 13 claves ya funcionando.

  1. baj茅 del Google Store la app de Aegis Authenticator. Y en 30 segundos estaba instalada
  2. clave. Es lo primero bien diferente de GA (Google Authenticator) y es que tenes que generar una clave para ingresar. No un usuario y clave, sino solo una clave. Esa clave es para acceder al autenticador cada vez que queres un c贸digo.

Aclara: si perdes la clave, perdes el acceso y no podes recuperarla. Asi que no la olvides.

  1. Listo. Ingres茅.
  2. Ahora toca importar claves del GA. Y me pregunto como hacerlo? opciones:
  • importar archivo con claves (pero GA no genera un archivo).
  • importar con QR. Bien ahi, pero tengo un celular y quiero traspasar cuentas desde dos APPs en el mismo equipo. Si genero un QR 驴como lo escaneo?

Pensamiento lateral: tengo una compu con c谩mara. Elijo desde GA exportar a QR y saco una foto con la c谩mara.
Cambio de app y desde Aegis presiono el simbolo + y elijo escanear con QR. Escaneo la foto en la compu. (aclaro que mi cara seria es porque hace mucho calor)

  1. El problema con el que me encontr茅 es que GA genera los QR solo de a 3 cuentas (o al menos eso me pas贸). As铆 que hice una iteraci贸n del procedimiento, seleccionando de a tres cuentas y listo.

En 5 minutos migr茅 todo.
Primera evaluaci贸n:

  • tiene contrase帽a de acceso a las claves :muscle:
  • podes configurar tema (modo oscuro que me gusta) y nivel de compactaci贸n de los textos (vista comoda) :smile:
  • podes armar grupos con las claves. Esto es agruparlas seg煤n funcionalidad y abrir solo el grupo que necesitas :muscle:
  • podes documentar mejor las claves: cambiar su titulo, agregar datos del emisor, una nota interna y el grupo de pertenencia. Esto ordena tremendamente la info :star_struck:
  • y por 煤ltimo lo mas importante: no KYC, no tuve que crear una cuenta para usarlo.

Como seguir:

  • urgente desinstalar GA. Si queres proba que Aegis funcione con alguna app primero.
  • salvar la b贸veda a alg煤n json (formato de texto enriquecido) para dejarlo de backup (por si te roban el celu y evitar as铆 la burocracia de abrir de nuevo todos los tokens desde las distintas apps=
  • abrir alguna bebida que te guste, y compartir tu experiencia con la comunidad a continuaci贸n :heart_eyes:

Te sirvi贸? Sumas alg煤n tip? la estas utilizando? :love_you_gesture:

8 Me gusta

Excelente!!! Gracias Claudio por toda esta info!!!, en breve hare lo mismo, inclusive voy a usar un celu que esta en casa en desuso para achicar posibilidades de robo/extravio.

2 Me gusta

Aguante, gracias por la data y esa foto rockstar haha bien ah铆!!

Esto tiene acceso eventual a todo, si de repente se descubre algo que rompa cifrados, entonces est谩 bueno usar siempre la vanguardia.

Y confiar en proyectos open-source con mucha auditor铆a (personas que usen y trabajen sobre el proyecto).

La ventaja del c贸digo abierto frente al cerrado es la misma ventaja que vemos en Criptonautas, al hacer las cosas de manera transparente o a escondidas.

Tiene que ver con un prop贸sito, ese proyecto est谩 comprometido con la privacidad y la seguridad de la mayor铆a de las personas.

Y eso a la Matrix que tiene fines meramente comerciales, le queda enorme y muy distante, porque es m谩s f谩cil hacer dinero vendiendo datos y marketeando.

Aegis va muy bien con Bitwarden, pero en principio ser铆a ideal no intentar hostear sino usar las apps y sus backups as铆 como se muestran para la mayor铆a.

Profundizar en niveles de seguridad implica una responsabilidad, como todo. Entonces mejor adaptarse sin hostear, y luego aprender a hacerlo (si lo evaluamos como algo necesario)

Abrazo para todos!!

1 me gusta

Gracias Claudio!! Abrazo

1 me gusta