Aplicación de autenticación

Una aplicación de autenticación es una app gratuita en tu teléfono que muestra un código de seis dígitos, y ese código cambia cada treinta segundos. Después de la contraseña, la web te pide el número que aparece en ese momento, y solo el teléfono que llevas encima puede generarlo. Así, una contraseña robada por sí sola ya no vale casi nada.

No hay ningún truco mágico. Al activarla, la web y la app se ponen de acuerdo en un secreto largo, normalmente cuando fotografías un cuadrado que sale en la pantalla. Las dos conocen entonces el mismo secreto y la misma hora, así que calculan los mismos seis dígitos una y otra vez. No se envía nada a tu teléfono, y esa es toda la gracia. Por eso la app funciona en un avión, en un sótano o en un pueblo sin cobertura.

Por lo mismo es mejor que un código por SMS, que se lee en la pantalla bloqueada desde el asiento de al lado. Peor aún, un delincuente puede convencer a tu operadora de pasar tu número a su propia tarjeta SIM, y entonces todos los códigos llegan a su teléfono. Los mensajes también se pierden durante horas cuando la red va cargada, justo cuando los necesitas. Nada de esto afecta a la app, porque no hay ningún mensaje que robar.

El fallo típico es activarla con prisa, porque la pantalla que enseña el cuadrado de configuración enseña también una lista corta de códigos de respaldo. Guárdalos fuera del teléfono, impresos en un cajón o dentro de un gestor de contraseñas del ordenador. Añade después la app a un segundo aparato, o activa su copia cifrada, para que perder el teléfono sea una molestia y no un desastre. Nuestra ficha sobre la autenticación de dos factores explica la idea de ese segundo paso. En Linkysoft imprimimos esos códigos con el cliente y los dejamos en la caja fuerte, porque una foto en el mismo teléfono no es una copia.

Si te roban el teléfono y nunca guardaste los códigos de respaldo, recuperar una cuenta puede llevar días de papeleo, y a veces no se consigue nunca. Linkysoft se ha sentado con dueños encerrados fuera del correo de su propia empresa justo por eso, cuando cinco minutos al principio lo habrían evitado. Por eso cada proyecto de ciberseguridad empieza pasando las cuentas del personal a una app, ya que ahí están los datos de los clientes. Cada persona entra después una vez desde un segundo aparato antes de que sigamos.