Algún tiempo atrás hablamos de la autenticación de doble factor. En esta ocasión vamos a terminar con algunas ideas que se quedaron en el tintero. Particularmente de aplicaciones OTP (One Time Password, por sus sigla en inglés, y en castellano contraseñas de un solo uso).
Creo que, salvo alguna rarísima excepción, siempre existe la posibilidad de recibir los códigos vía SMS, pero más de una vez esos mensajes demoraron mucho en llegar, y otras tantas nunca llegan (más que nada por eso de los códigos del área, los 0, los 15 y más) lo cual no representa demasiado problema si son para algún servicio de uso muy esporádico.
Ahora bien… si sos lector de este humilde sitio web, nos hagas algo de caso y a la vez tratás de hacer las cosas decentemente, lo más probable es que tengas habilitada esta medida de seguridad en varias cuentas de uso frecuente (Gmail, Facebook, Twitter, PayPal, etc), para lo cual no siempre se puede confiar en la recepción de un mensaje de texto. Es en estos casos cuando lo más conveniente son las aplicaciones OTP; y como no puede ser de otra manera Google tiene un producto (iOS y Android) para la tarea que goza de cierta popularidad. Google Authenticator, como muchas otras aplicaciones de la firma ofrece una funcionalidad justa (y hasta casi limitada).
El tema es que, por más que parezca, Google Authenticator es un «cliente» de códigos OTP, pero es posible utilizar otras aplicaciones que hacen lo mismo y hasta mejor.
Google y sus productos, otra vez, con sabor a crudo.
La mayor queja que he oído en contra del autenticador de Google es lo tremendamente incómodo (por usar una palabra suave) que es tener que migrar los datos de un teléfono a otro. Simplemente si cambiás el teléfono vas a tener que tomarte el trabajo ANTES de deshabilitar la doble autenticación y habilitarla usando la app en el celu nuevo. Así de simple.
Las alternativas (porque son dos) que se proponen en esta ocasión llegan, cómo siempre, desde f-droid (aunque también están en Google Play). Tanto Aegis como andOTP son opciones ideales para proporcionar códigos OTP. Ambas permiten cifrar y exportar los datos para poder importarlos en otro dispositivo, o incluso en el mismo desde otra app, ya que usan un formato estandarizado de archivo, en el que la única diferencia sería la contraseña con la que se cifra dicho archivo.
Cada una tiene sus matices. Aegis, por ejemplo, tiene alguno que otro ajuste de visualización mientras que andOTP dispone de varios íconos para agregar a las entradas. Y ninguna de las dos dispone de sincronización «en la nube», para lo que hay que recurrir a algo como Authy.
Y ya no hay mucho más que hacer. Si ya venías usando el autenticador de Google forzosamente vas a tener que hacer el trabajo tedioso de migración, sea que cambies de aplicación o de teléfono. Y si ya venías usando otra cosa, y querés probar algo nuevo ya sabés por dónde empezar a mirar.
¡Hola! Pasaba por acá para recomendar Authenticator de Microsoft (se jugaron con el nombre).
Por supuesto, está orientado a darle seguridad a tu cuenta de Microsoft pero también permite agregar códigos de otros sitios web y aplicaciones.
Y en la última versión permite hacer back up en la nube.
¡Saludos!
Te me adelantaste Iván. Venía a decir lo mismo. Uso Microsoft Authenticator y ya cambié de celu y recuperé todo gracias a su backup en la nube, a la cual accedo con la doble autenticación tradicional por SMS.
¡Saludos!
Precisamente hace un par de meses migré de Google Authenticator a Aegis y no puedo estar más contento. El programa permite bloquear la base de datos con un pin y la huella dactilar. Y como se comenta en el artículo, permite importar y exportar la base de datos fácilmente. De este modo se puede guardar una copia de seguridad en el PC y tener la espalda cubierta en caso de robo o pérdida del móvil, porque si no la situación casi podría llegar a ser dramática.
Olvidé comentar que Aegis permite importar la base de datos de otra aplicación (es necesario acceso root) con la opción «Importar desde una aplicación». En mi caso no funcionó, pero lo conseguí accediendo al archivo de la base de datos a través de un explorador de archivos (root), copiándolo a un lugar visible de la memoria interna y luego importándolo desde Aegis con la opción «Importar desde un archivo». Por ejemplo, las bases de datos de Google Authenticator y FreeOTP se encuentran en las siguientes rutas:
/data/data/com.google.android.apps.authenticator2/databases/databases
/data/data/org.fedorahosted.freeotp/shared_prefs/tokens.xml
Yo uso Authy, y aunque a veces tiene «detalles», me funciona bien, sincroniza códigos entre dispositivos y tiene respaldo en la red.
En otro punto, en el caso de necesitar cambiar de aplicación, casi todos los sitios que tienen autenticación de dos factores también te dejan recuperar la cuenta utilizando códigos de un uso que puedes descargar del sitio cuando das de alta tu dispositivo. Recomiendo tener esos códigos siempre a la mano, por si el diablo.
Ellos mismos recomiendan qué uses la llave física, que es la que usan ellos mismos y en el programa avanzado de seguridad.
También recomiendan yubikey como llave física multisitio, pero de esta no he buscado datos