¿Qué es una YubiKey? ¿Necesito una?

¿Cómo funciona la YubiKey?

En pocas palabras, la YubiKey es una clave de seguridad desarrollada por la Alianza FIDO y fabricada por Yubico. Cada dispositivo YubiKey tiene asignado un código único que, cuando se conecta a un ordenador, puede autenticar la identidad del usuario. Además de las llaves de seguridad USB, las YubiKeys NFC se utilizan para la autenticación en dispositivos móviles.

Las YubiKeys utilizan claves criptográficas para autenticar los intentos de inicio de sesión. Admiten varios protocolos MFA, como claves de acceso, contraseñas de un solo uso y el estándar Universal 2nd Factor (U2F), y ayudan a proteger a los usuarios frente a amenazas avanzadas ataques de intermediario, donde el delincuente intenta interceptar la autenticación de dos factores.

Cómo configurar una YubiKey

A diferencia de las contraseñas tradicionales, los usuarios de YubiKey no tienen que recordar un código distinto para autorizar un intento de inicio de sesión: YubiKey funciona cuando se conecta o se coloca junto al dispositivo, y el usuario solo tiene que pulsar un botón para activarla. Del mismo modo, para configurar la YubiKey como dispositivo de autenticación, el usuario solo tiene que elegirla como su opción preferida en la configuración de seguridad de la cuenta.

¿Qué servicios y aplicaciones son compatibles con una YubiKey?

Aunque la autenticación YubiKey no es el método de autenticación multifactor más popular, está disponible perfectamente tanto para uso personal como empresarial. Puedes utilizarla para autenticar tus intentos de inicio de sesión en sitios web, aplicaciones y bases de datos.

Todos los usuarios pueden confiar en la YubiKey para autenticar sus intentos de inicio de sesión en redes sociales y cuentas de correo electrónico, y acceder a datos sensibles como información bancaria o historiales médicos personales. Servicios como Microsoft y Google no solo admiten la verificación de YubiKey, sino que los gigantes tecnológicos que hay detrás de ellos han contribuido conjuntamente al desarrollo de la llave.

La YubiKey puede funcionar junto con los gestores de contraseñas. Puedes utilizar esta llave para añadir una capa de seguridad a tu gestor de contraseñas. Las credenciales generadas por el gestor de contraseñas pueden reforzar la primera línea de defensa de tus cuentas.

La popularidad de la YubiKey está creciendo y el sector está viendo cómo aumentan los casos de uso de las YubiKeys. Estas llaves de seguridad ya se han convertido en la opción favorita de muchas empresas que buscan prácticas avanzadas de seguridad para sus empleados. Las empresas que conforman el grupo FAANG (Facebook, Amazon, Apple, Netflix y Google) ya entregan a sus empleados YubiKeys personales para las autorizaciones relacionadas con el trabajo, garantizando así que solo los usuarios verificados puedan acceder a toda la información sensible.

La YubiKey también ofrece flexibilidad a los trabajadores remotos e híbridos. Con una YubiKey, pueden acceder fácilmente a las bases de datos y a las cuentas de trabajo en cualquier parte del mundo sin arriesgarse a exponer datos sin autorización. Como las YubiKeys funcionan sin necesidad de conexión, los hackers no pueden entrar en ellas como lo harían con las redes wifi abiertas.

¿Cuáles son las ventajas de la autenticación YubiKey?

La YubiKey está considerada como uno de los métodos de autenticación multifactor más seguros. Su compatibilidad con dispositivos móviles y de escritorio la convierte en una opción flexible tanto para particulares como para empresas. La versión USB es compatible con los puertos comunes que se encuentran en los dispositivos de hardware, como USB-C o Lightning, y la mayoría de los ordenadores portátiles modernos se fabrican con una estación de acoplamiento designada para la llave de seguridad.

La YubiKey es físicamente robusta, ya que es resistente al agua y a los golpes, lo que la convierte en una inversión fiable en seguridad a largo plazo. No requiere ninguna aplicación de terceros para funcionar, aunque pueden utilizarse aplicaciones adicionales para configuraciones personalizadas.

Cada vez que inicies sesión en una cuenta que utiliza la autenticación de YubiKey, la llave puede detectar la legitimidad del sitio web. Solo valida el intento de inicio de sesión si el sitio web coincide con el enlace original. De esta forma te protege de iniciar sesión de forma accidental en un sitio web falsificado y revelar tus credenciales a los ciberdelincuentes.

También debes saber que llevar encima la YubiKey para la autenticación tiene sus riesgos. Debido a su tamaño, una YubiKey puede perderse con facilidad. Por lo tanto, si eliges una YubiKey como dispositivo de autenticación, asegúrate de guardarla en un lugar seguro. Yubico recomienda oficialmente a sus usuarios que dispongan de un segundo dispositivo YubiKey que pueda activarse en caso de pérdida o robo de la llave principal.

Incluso si pierdes tu dispositivo YubiKey, no tienes que preocuparte de que tu información personal quede expuesta, ya que la llave de seguridad no actúa como dispositivo de almacenamiento. Si alguien te roba la YubiKey pero no conoce tu contraseña, no podrá entrar en tu cuenta.

YubiKey frente a otros métodos de autenticación: ¿qué los diferencia?

YubiKey es una de las diversas alternativas que particulares y empresas utilizan como el siguiente paso de la autenticación multifactor. Veamos en qué se diferencia la autenticación de YubiKey con las claves de acceso, las aplicaciones de terceros y los códigos de mensajes de texto.

Claves de acceso

No es raro ver menciones a las claves de acceso junto a las de YubiKey en las discusiones sobre MFA. Ambos métodos de autenticación son fruto de la Alianza FIDO y se engloban en el estándar FIDO2.. Ambas opciones ofrecen una solución sin contraseña para la autenticación y protección de cuentas. Y, por supuesto, están codificadas de forma única.

La diferencia principal entre las claves de acceso y la YubiKey es el hardware: Las claves de acceso utilizan una combinación de verificación biométrica con claves criptográficas. El proceso se valida con un teléfono móvil, una tableta o un ordenador portátil. Las claves de acceso también pueden almacenarse en gestores de contraseñas de terceros, como NordPass, y sincronizarse entre dispositivos según las preferencias del usuario.

Las YubiKeys actúan como almacén de claves de acceso, aunque con restricciones de almacenamiento. Los códigos de YubiKey no se pueden replicar ni transferir a otro dispositivo, por lo que son menos flexibles que las claves de acceso.

La elección entre una clave de acceso y una YubiKey dependerá de las preferencias del usuario. Ambos métodos siguen el protocolo FIDO2, lo que los convierte en sólidos mecanismos de autenticación para particulares y organizaciones.

Aplicaciones de autenticación

Las aplicaciones de autenticación también son compatibles con la MFA. Aplicaciones como Google Authenticator o el autenticador integrado NordPass Authenticator permite a los usuarios generar contraseñas de un solo uso basadas en el tiempo (TOTP) en sus dispositivos cada vez que inician sesión en un sitio web o una aplicación. Los códigos generados por las aplicaciones de autenticación suelen ser cortos, tienen una media de 6 caracteres, y se restablecen tras un periodo determinado, normalmente entre 15 y 60 segundos.

Las YubiKeys se crearon inicialmente para producir contraseñas de un solo uso (OTP, por sus siglas en inglés), únicas, altamente complejas y de 44 caracteres para la autenticación de cuentas. Sin embargo, a medida que la tecnología YubiKey ha ido evolucionando, ha pasado a la autenticación sin contraseña. Aunque todavía es posible producir una OTP utilizando un dispositivo de YubiKey, WebAuthn es ahora el método de autenticación preferido.

Tanto las claves de autenticación como las OTP de YubiKey son prácticas. Requieren un único dispositivo para generar códigos y permitir un acceso instantáneo. Sin embargo, como dispositivo de hardware, la YubiKey es más resistente a los intentos de filtración. Las aplicaciones de autenticación de terceros pueden ser propensas a ciberataques o intentos de phishing.

Por ejemplo, imagina que un estafador contacta con un usuario e intenta conseguir el código de autenticación para entrar en sus cuentas. Al ver que el método de autenticación requerido es una aplicación, es más probable que siga adelante. Al fin y al cabo, es más fácil conseguir que un usuario revele un código de 6 dígitos que uno de 44.

El restablecimiento basado en el tiempo añade una capa de fiabilidad a las aplicaciones de autenticación, ya que el temporizador hace más difícil que los ciberdelincuentes puedan eludirlo. El autenticador de YubiKey es más rápido, rellena automáticamente el código de autenticación al pulsar el botón de la llave, ahorrándote el tiempo que tienes que invertir en teclear los 44 caracteres.

2FA por SMS

Aunque la autenticación por SMS se considera uno de los métodos más débiles, sigue siendo popular debido a su facilidad de uso. Para configurar la autenticación por SMS, el usuario introduce su número de teléfono móvil y recibe una contraseña de un solo uso en cada intento de inicio de sesión.

En comparación con la autenticación YubiKey, confiar en los mensajes de texto tiene sus carencias. La suplantación de identidad telefónica y el intercambio de SMS son tácticas populares de ingeniería social cuyo objetivo es extraer el código de autenticación que se envía a tu número. En la primera táctica, los ciberdelincuentes llaman a sus objetivos, haciéndose pasar por un servicio legítimo, y les piden el código SMS para la verificación. En la segunda, los hackers llaman al proveedor de servicios telefónicos del usuario objetivo, haciéndose pasar por la víctima, para acceder al número.

La YubiKey no puede ser intervenida de forma remota por delincuentes. Es un dispositivo que funciona sin conexión a internet ni a la red móvil. La autenticación es fácil, no tienes que revelar ni introducir una contraseña de un solo uso: esto garantiza que las cuentas de usuario sean más resistentes a los ataques de phishing.

La YubiKey también puede proteger tus aplicaciones de mensajería desde dentro: puede conectarse al teléfono a través del puerto USB o mediante NFC para autenticar los intentos de inicio de sesión en estos servicios. También te ahorra el quebradero de cabeza que supone actualizar todas tus cuentas con autenticación por SMS si cambias de número de teléfono.

Combina tu YubiKey con NordPass

Ya sea para uso personal o laboral, querrás sacar el máximo partido a la protección de tu cuenta. Combinar NordPass con una YubiKey permite obtener un mayor nivel de seguridad sin complicaciones.

NordPass es un gestor de contraseñas seguro que te permite generar contraseñas fuertes y únicas, así como almacenar y gestionar claves de acceso para todas tus cuentas. Utiliza una arquitectura de conocimiento cero y el cifrado avanzado XChaCha20 para proteger tus datos sensibles y mantener todas tus credenciales accesibles en un almacén al que solo se puede acceder con tu autorización.

Como miembro de la Alianza FIDO, NordPass es consciente del papel que desempeñará la autenticación sin contraseña en un futuro próximo. ¿Has perdido el acceso a tu YubiKey? No te preocupes: cambia tu método de autenticación preferido por una aplicación de autenticación. Desde aquí, puedes utilizar el autenticador de NordPass para generar códigos de un solo uso junto con tus contraseñas. Incluso puedes utilizar la YubiKey con tu cuenta Nord, porque tu seguridad digital es lo primero.

Preguntas frecuentes