autenticación en dos pasos
3 artículos con esta etiqueta
Configurar la autenticación en dos pasos (2FA) de GitHub: app de autenticación, llaves de acceso, códigos de recuperación y qué hacer si pierdes el móvil
Guía para configurar la autenticación en dos pasos (2FA) en GitHub y no quedarte fuera. Desde marzo de 2023, GitHub exige el 2FA, grupo a grupo, a los usuarios que contribuyen código en GitHub.com; una vez seleccionado, tienes un periodo de inscripción de 45 días y un periodo de gracia de 7 días, tras el cual no puedes usar GitHub.com hasta activar el 2FA. GitHub Docs recomienda una app de autenticación TOTP como método principal y una llave de acceso (passkey) o una llave de seguridad como respaldo (las llaves de acceso, las llaves de seguridad y GitHub Mobile solo se pueden añadir después de configurar TOTP o SMS). La opinión de este sitio: el fallo habitual del 2FA en GitHub no es que te roben la cuenta, sino quedarte fuera tú mismo, y el soporte de GitHub no puede restaurar una cuenta cuyas credenciales de 2FA y métodos de recuperación se han perdido todos. Guarda los 16 códigos de recuperación en un gestor de contraseñas y registra un segundo método el mismo día. Ya que estás, pasa a tokens fine-grained con caducidad, depura las apps autorizadas y las claves SSH, y revisa la push protection y las alertas de Dependabot.
¿Qué es una contraseña de un solo uso (OTP)? TOTP frente a HOTP frente a SMS, y sus límites
Una contraseña de un solo uso (OTP) es un código efímero de un solo uso que deja de valer al usarse. Tipos: TOTP de app de autenticación (basado en tiempo), HOTP (basado en contador) y SMS-OTP. Resiste bien las contraseñas filtradas y reutilizadas y suele ser el factor de «algo que tienes» en el 2FA. Pero tiene un límite: el phishing con atacante en el medio (AiTM) puede retransmitir una OTP a través de un sitio falso y aun así entrar. Una resistencia sólida al phishing viene de una passkey ligada al dominio. La OTP es «mucho mejor que nada, pero no el paso final».
¿Qué es la autenticación de dos factores (2FA)? Frente a los dos pasos, y la fortaleza de cada método
La autenticación de dos factores (2FA) refuerza la comprobación de identidad añadiendo una prueba de otra categoría —«algo que tienes» o «algo que eres» (un código, una llave o un dato biométrico)— sobre «algo que sabes» (tu contraseña). En sentido estricto no es lo mismo que la verificación en dos pasos (dos comprobaciones, no necesariamente dos categorías). La fortaleza depende del método: SMS/correo < app de autenticación (TOTP) < passkey/llave de seguridad (FIDO2). La postura de este sitio: activa primero algún 2FA en todo, y luego lleva las cuentas clave a métodos que no puedas entregar a un sitio de phishing.