La llave Titan de Google la cual permite desbloquear cuentas en línea ya está disponible con USB-C

¿Tiene una computadora portátil o un teléfono con puerto USB-C? Entonces, Google lo tiene cubierto cuando se trata de proteger sus cuentas en línea y evitar el acceso no autorizado.

El gigante de Internet ha anunciado una llave de seguridad USB-C Titan, fabricada por la compañía sueca Yubico, que es compatible con dispositivos Android, Chrome OS, macOS y Windows por un precio de US$40. También se parece mucho al YubiKey 5C.

Titan Security Keys son dispositivos de autenticación de dos factores (2FA) resistentes al phishing, diseñados con la intención de verificar criptográficamente la identidad de una persona al acceder a un servicio en línea, defendiendo así a los usuarios contra los ataques de apropiación de cuentas.

Google ya vende otros dos modelos con capacidades NFC y Bluetooth. Pero antes sólo estaban disponibles como un paquete de US$50. Eso ha cambiado, permitiendo a los usuarios y a las empresas comprarlos individualmente por US$25 y US$35 respectivamente.

Los usuarios de iPhone o iPad, por otro lado, pueden querer darle una oportunidad a la llave YubiKey 5Ci equipada con iluminación de Yubico.

No hay soporte para Bluetooth
La nueva llave de seguridad no viene con soporte Bluetooth, lo que significa que no puedes desbloquear tus cuentas hasta que la llave Titan Key esté realmente conectada a tu dispositivo.

Y con razón, ya que las variantes de Bluetooth sufrieron un fallo de hardware que hizo posible que un atacante secuestrara las teclas de forma remota. El problema era lo suficientemente grave como para incitar a Google a ofrecer un reemplazo gratuito a quienes lo habían comprado.

Yubico, por su parte, ha estado en contra de ofrecer una llave con capacidad Bluetooth, afirmando que el producto "no cumple con nuestros estándares de seguridad, usabilidad y durabilidad".

Autenticación sin contraseña en aumento
La clave de seguridad aprovecha el estándar FIDO, desarrollado conjuntamente por Google y Yubico en 2012, para proporcionar una segunda capa de autenticación a sus credenciales de acceso. Por lo tanto, al registrar una clave de hardware en un servicio en línea por primera vez, se crea un par de claves públicas y privadas mediante cifrado asimétrico.

Durante la autenticación - utilizando un PIN o biometría - su identidad se confirma encriptando un mensaje secreto con la clave privada y transmitiéndolo al servicio en línea, que descifra el mensaje con la clave pública generada anteriormente.

El desarrollo se produce tras la expansión de Titan Security Key a Canadá, Francia, Japón y el Reino Unido, y la del programa de protección avanzada de Google para los clientes de G Suite, Google Cloud Platform (GCP) y Cloud Identity en agosto.

Aún así, los mecanismos de autenticación sin contraseñas, como los desarrollados por Google y Microsoft, aún no han sido ampliamente adoptados. No es ninguna sorpresa, entonces, que las compañías estén integrando las características en sus sistemas operativos con la esperanza de que esto conduzca a los usuarios a soluciones más seguras.

"Los estándares FIDO son muy prometedores para permitir un mundo sin contraseñas", dijo Jim Ducharme, vicepresidente de Productos de Identidad de RSA. "Sin embargo, va a tomar tiempo para que el estándar se integre entre los dispositivos de usuario, navegadores y aplicaciones y tomará aún más tiempo para ser implementado y soportado por los departamentos de TI en las organizaciones".

La identidad como servicio
Google dista mucho de ser el único actor que invierte mucho en la identidad como servicio (IDaaS). Microsoft, Facebook, Twitter, Apple, e incluso los operadores de celular se han unido a la mezcla.

"La identidad está de nuevo en primera plana, ya que las organizaciones se han dado cuenta de que la identidad robada es el problema de seguridad número uno, y a menudo el eslabón más débil en las posturas de seguridad", dijo Ducharme.

La detección y gestión de riesgos de identidad, por lo tanto, requiere que las organizaciones consideren una solución de autenticación basada en riesgos que sea capaz de analizar el acceso de los usuarios, los dispositivos, las aplicaciones y el comportamiento para proporcionar a las empresas la confianza de que los usuarios son quienes dicen ser en base a su historial previo.

En última instancia, los estándares de FIDO no son balas mágicas. Necesitan el software, los navegadores, los dispositivos y la infraestructura más recientes para funcionar, lo que exige que las empresas evalúen su infraestructura antes de pasar sin contraseña.

"Todavía estamos en camino hacia un mundo sin contraseñas. Eliminar la contraseña de la experiencia del usuario durante la autenticación es más fácil, como hemos visto con la adopción de Touch ID y Face ID", dijo Ducharme. "Necesitamos avanzar hacia un enfoque que considere el registro de credenciales, la recuperación y cómo los usuarios pueden autenticarse de forma segura desde dispositivos que no tienen capacidades biométricas o FIDO integradas".

Las llaves de seguridad USB-C Titan de Google pueden adquirirse en la tienda Google Store de Estados Unidos.