La llave física que protege del phishing a los empleados de Google

Desde 2017 los empleados de Google utilizan una llave de seguridad para acceder a sus cuentas profesionales en sustitución del uso de contraseñas y de códigos de verificación vía móvil. Desde entonces ninguno de los más de 85.000 empleados de la compañía ha sido víctima del phishing.

El phishing consiste en engañar de algún modo al usuario —por ejemplo, mediante correos falsos— para obtener datos de forma ilícita; por ejemplo contraseñas, datos personales o números de tarjetas de crédito.

Las llaves de seguridad USB más populares cuestan entre 15 y 30 euros en Amazon.

Las llaves de seguridad, explica Krebs on Security, son dispositivos relativamente baratos que se colocan en el puerto USB del ordenador [o por Bluetooth en el caso de los móviles] y proporcionan un método alternativo a la autenticación de dos factores (2FA) que requiere que el usuario inicie sesión en un sitio Web usando algo que conoce (la contraseña) y algo que tiene (por ejemplo, un dispositivo móvil).»

De este modo incluso teniendo la contraseña —obtenida mediante phishing, por ejemplo— un atacante no podría acceder a las cuentas protegidas si carece de la llave «física» de seguridad que en cambio permite a su usuario legítimo «identificarse simplemente insertando la llave USB en el puerto del ordenador y pulsando un botón de la llave», sin necesidad de teclear nada.

Según Google las llaves de seguridad son “el mecanismo más seguro y la mejor protección contra acciones de phishing”.

Conviene tener en cuenta que usar una de estas llaves significa llevarla o tenerla a mano en todo momento, por lo que sólo debería utilizarse en casos en los que sea realmente necesarios añadir una barrera extra de protección contra ataques maliciosos.

La llave además funciona directamente en cualquier ordenador con puerto USB, público o privado, y no requiere la instalación de ningún software ni controlador adicional.

Un método de identificación eficaz pero de compatibilidad limitada

Sin embargo de momento y a pesar de su nombre (‘Universal 2nd Factor’, U2F) este método de identificación está lejos de ser universal. Funciona con las cuentas de Google a través de Chrome y en sitios como Dropbox o Facebook. Según *Krebs on Security* Microsoft no adoptará la compatibilidad U2F para su navegador web Edge hasta finales de este año, y Apple aún no ha revelado si Safari será compatible en algún momento.

«Queda por ver si esta experiencia positiva de Google con las llaves de seguridad ayuda a generalizar su uso, porque se trata del tipo de testimonio que puede dar un impulso masivo a este sistema de seguridad,» dicen en Engadget.