Cómo blindar las contraseñas

Los ataques informáticos son constantes y, en ocasiones, con consecuencias que pueden resultar muy graves. Los expertos lo tienen claro: la única forma realmente eficaz de proteger la identidad hasta que llegue una solución que supere las contraseñas, es la verificación en dos factores. ¿En qué consiste exactamente? Si se tiene una cuenta en Internet con un banco, la entidad ya ha sustituido la clásica tarjeta de coordenadas por un sistema que emplea su móvil como segunda autorización. Esto es, cualquier operación con la entidad o la cuenta corriente deberá confirmarse con un código temporal (token) enviado por SMS al móvil del titular o una contraseña temporal generada por la app del banco. La mala noticia es que esta protección, aun siendo mejor, sigue siendo vulnerable debido al conocido como SIM swapping. ¿Cómo blindar, entonces, las contraseñas?

Protección mediante 'hardware'

Si quiere asegurarse de blindar al máximo su identidad, el nivel más elevado de protección al alcance del usuario es la protección biométrica mediante un dispositivo. ¿En qué consiste exactamente? El usuario adquiere un pendrive -el pionero y más utilizado es Yubikey- que se configura con la huella digital. Hecho esto, cada vez que se quiera acceder al servicio o recuperar una contraseña, se deberá autorizar el movimiento colocando el dedo sobre la llave en cuestión. Se trata de una manera, sobre el papel infranqueable, de proteger las cuentas y Yubico, la firma detrás de las conocidas llaves, soporta múltiples servicios (Dropbox, Amazon, 1Password, redes sociales...).

Aplicaciones 2FA

Si no se dispone de una llave tipo Yubikey y no se quiere confiar en el mensaje de texto, ¿qué se puede hacer? La tercera vía más segura es emplear aplicaciones que gestionan la verificación en dos factores (2FA). Estas apps, una vez configurada una cuenta inicialmente (por ejemplo, Google o Microsoft), generan un token o código temporal que sustituye al envío del SMS. Esta capa de protección adicional es más segura que el mensaje de texto porque no se depende de un tercer elemento -el operador- que envíe la contraseña temporal, sino que es el propio usuario quien debe autorizar el movimiento mediante el token. Las más populares son Google Authenticator y Microsoft Authenticator, y su uso es totalmente gratuito.

¿Los relojes inteligentes?

Se trata de algo que está en ciernes pero que, si llega al mercado, puede cambiar definitivamente la gestión de las contraseñas al no necesitar introducir ni una sola secuencia, ni esperar un mensaje o token para acceder a una cuenta. Esta idílica situación podría ser pronto una realidad de prosperar un proyecto promovido por la FIDO Alliance y que promete que las contraseñas podrían ser sustituidas por los relojes inteligentes. La solución se fundamenta en que el reloj  identifica a su portador de forma inequívoca siempre y cuando esté en su muñeca, y este desarrollo permitiría una conexión inalámbrica segura entre el reloj y el dispositivo a desbloquear, simplificando el proceso.

El futuro pasa por que no sean necesarias las contraseñas y todo se base en la biometría, la forma más cómoda y segura de identificar a un usuario. La mala noticia es que todavía falta bastante tiempo para esto.