Qué es YubiKey y cómo protege tus cuentas
Autor: Redacción Domeny.ForSale Publicado
En resumen: YubiKey es una pequeña llave de seguridad física de Yubico que sirve para confirmar el inicio de sesión en cuentas y servicios. Con FIDO2 o U2F protege frente al phishing con más eficacia que los códigos que se introducen manualmente, porque comprueba que la autenticación corresponda al sitio web correcto. No necesitas tener dos llaves, pero una de repuesto reduce considerablemente el riesgo de perder el acceso si extravías o se estropea la principal.
¿Qué es YubiKey y frente a qué protege?
YubiKey se parece a una pequeña memoria USB, pero no sirve para guardar documentos. Según el modelo, se conecta al puerto USB correspondiente o se acerca al teléfono para comunicarse por NFC, una tecnología de comunicación de corto alcance. Antes de comprarla, debes comprobar qué conectores y funciones ofrece cada modelo.
La llave puede actuar como segundo factor de autenticación. Es una prueba de identidad adicional a la contraseña: quien intenta iniciar sesión no solo debe conocer un dato secreto, sino también tener acceso al dispositivo físico. Algunos servicios también permiten usar la llave para iniciar sesión sin contraseña.
Su principal ventaja es proteger frente al robo de cuentas, especialmente mediante phishing, es decir, la suplantación de una página de inicio de sesión legítima. Esto no supone una protección completa del ordenador: YubiKey no es un antivirus y no protege automáticamente frente al software malicioso ni al robo de una sesión ya activa.
¿Cómo funciona el inicio de sesión con YubiKey?
En uno de sus usos más habituales, la llave utiliza FIDO2 o su predecesor U2F, estándares que permiten verificar la identidad mediante criptografía. Al añadir la llave a una cuenta, se genera un par de claves criptográficas. El servicio recibe la clave pública, mientras que la privada permanece en el dispositivo.
Durante el inicio de sesión, el servicio envía un desafío para el que YubiKey prepara una respuesta firmada. El navegador y la llave vinculan esta operación al sitio web correcto. Así, una página falsa no puede simplemente interceptar la respuesta y utilizarla para iniciar sesión en el servicio legítimo.
Para el usuario, el proceso suele ser el siguiente:
- Abres la página del servicio e inicias el proceso de acceso.
- Si la configuración lo requiere, introduces la contraseña.
- Conectas YubiKey o la acercas al teléfono.
- Cuando se te solicita, introduces el PIN de la llave y tocas su zona de contacto.
Por lo general, el toque solo confirma la presencia física del usuario, no su identidad mediante la huella dactilar. La biometría es una función de determinados modelos, no de todas las llaves YubiKey.
FIDO2 también permite guardar credenciales passkey en una llave compatible, es decir, claves de acceso que permiten iniciar sesión sin una contraseña tradicional. La disponibilidad de esta opción depende del modelo, del servicio y de la configuración.
¿Qué ventajas ofrece frente a los SMS y las aplicaciones?
Tanto un código recibido por SMS como uno generado por una aplicación de autenticación pueden introducirse en una página falsa y ser utilizados de inmediato por un atacante. YubiKey, cuando se utiliza con FIDO2 o U2F, no requiere copiar ese tipo de código, por lo que protege mejor frente a este ataque.
Por ejemplo, recibes un mensaje que afirma que tu correo ha sido bloqueado. El enlace lleva a una copia convincente de la página de inicio de sesión. Si introduces allí tu contraseña y el código vigente de la aplicación, el estafador puede intentar hacerse con tu cuenta. La autenticación FIDO no funcionará en esa copia como en la página legítima, porque su dirección es distinta.
Sin embargo, no todas las funciones de YubiKey ofrecen la misma protección. Algunos modelos también admiten códigos de un solo uso y otros mecanismos. La resistencia al phishing descrita anteriormente se aplica al inicio de sesión mediante FIDO2 o U2F, no a cualquier uso del dispositivo.
La llave resulta especialmente útil para proteger el correo principal, el gestor de contraseñas, las cuentas de administrador y el panel del registrador de dominios. El robo de la cuenta de correo puede permitir restablecer contraseñas en otros servicios; el de la cuenta donde se gestionan los dominios, modificar la configuración que dirige el tráfico a la web y al correo.
¿Es necesario tener dos llaves?
Por lo general, una sola llave basta para usar el servicio, pero tener dos es una precaución sensata para casos de emergencia. Utiliza la primera a diario y guarda la segunda en otro lugar seguro. Llevar ambas en el mismo llavero no evita que puedas perderlas a la vez.
Debes añadir la llave de repuesto por separado a cada cuenta. No se convierte automáticamente en una copia de la primera, y comprar otra después de perder el acceso no recuperará los registros anteriores. Comprueba también si el servicio permite registrar varias llaves.
Si solo tienes una YubiKey, asegúrate de disponer de una vía alternativa para recuperar la cuenta. Pueden ser códigos de recuperación guardados fuera de esa cuenta u otro método admitido por el servicio. Sin embargo, un método de respaldo menos seguro puede debilitar la protección de toda la cuenta.
Si pierdes la llave, inicia sesión con el método de respaldo y elimina el dispositivo perdido de la configuración de seguridad. Perder la llave no implica necesariamente que alguien haya accedido a tu cuenta, pero no debes dejarla como método de inicio de sesión activo.
¿Cómo elegir y configurar YubiKey de forma segura?
Primero, consulta la documentación oficial de los servicios más importantes para ti y comprueba si admiten llaves de seguridad y, si te interesa, el inicio de sesión sin contraseña. Después, revisa en la documentación de Yubico los conectores, NFC, los estándares y la compatibilidad del modelo elegido con tu teléfono y tu ordenador. Que el conector encaje en el dispositivo no garantiza que todas las funciones sean compatibles.
Empieza la configuración por una cuenta importante. Añade la llave principal, registra la de repuesto y guarda los códigos de recuperación disponibles. Antes de desactivar otros métodos, comprueba en otra ventana del navegador que puedes iniciar sesión con cada llave y utilizar la vía de recuperación prevista.
Consulta también: ¿Qué es HAproxy?
Lee también
