Segundo factor y claves de acceso

Una clave de acceso (passkey) es una credencial de clave pública basada en los estándares WebAuthn y FIDO2. El dispositivo guarda la clave privada y el servicio guarda solo la pública; no hay un secreto compartido que robar del servidor ni que teclear. Además, la credencial se crea para un dominio concreto y el navegador solo la ofrece a ese dominio: si la persona cae en un sitio falso con otro nombre, el navegador no tiene ninguna credencial que ofrecerle.

Un código de seis dígitos, en cambio, se puede escribir en cualquier página, también en la falsa, y quien opera esa página puede reenviarlo al servicio real en el momento. Por eso se dice que la clave de acceso es resistente al phishing y el código no lo es.

El padrón de factores resume cuántas cuentas hay en cada grupo, qué factor usan como principal y si ese factor resiste un sitio falso. Con él se ve de un vistazo dónde está la deuda de seguridad más extensa, aunque no siempre sea donde está el riesgo más alto.

Consulta el padrón y localiza el grupo que usa el código enviado por mensaje de texto.

La fatiga de aprobaciones es un ataque a la persona, no al sistema: alguien que ya tiene la contraseña inicia sesión una y otra vez para que el teléfono de la víctima suene hasta que, por cansancio o por error, apruebe. En un registro se reconoce por una ráfaga de denegaciones seguidas, desde el mismo origen y a una hora en que la persona no suele trabajar, que termina con una aprobación.

Revisa el registro de aprobaciones de los días 4 a 6 de mayo. Una de las cuentas tiene esa forma.

La cantidad importa porque fija el umbral de una alerta: cuántas denegaciones seguidas son normales y cuántas ya son un ataque. Una persona se equivoca una o dos veces; no se equivoca durante minutos seguidos. Cuenta las filas, no calcules de memoria.

Filtra el registro por esa cuenta y cuenta las aprobaciones denegadas anteriores a la primera aprobada.

El personal de oficina son 214 cuentas con notificación de aprobación, el factor de la ráfaga que acabas de leer. Cambiar todas a llaves físicas es caro y lento. La notificación puede endurecerse con un cambio de configuración: pedir que la persona escriba en el teléfono un número que muestra la pantalla de inicio de sesión. Quien lanza la ráfaga desde otro lugar no ve esa pantalla y no puede dar el número. Las claves de acceso se añaden después, por oleadas.