Las 2 mejores llaves de seguridad para Multi

May 23, 2023

Agregamos una sección de preguntas frecuentes y revisamos esta guía para asegurarnos de que esté actualizada. Ninguna selección ha cambiado.

Un buen administrador de contraseñas es el primer paso para la seguridad en línea, pero no el último. Cuando la autenticación de dos factores (2FA) está disponible, también debe usarla con sus cuentas en línea. Si bien la forma más familiar de 2FA es un código de un solo uso enviado por mensaje de texto a su teléfono, la versión más segura es una clave de seguridad física que sirve para ese propósito. Con una clave de seguridad, nadie puede ingresar a las cuentas donde la configuró a menos que tenga su contraseña y acceso físico a la clave. La llave de seguridad Yubico, que está disponible para puertos USB-A y USB-C, tiene la mejor combinación de compatibilidad, facilidad de uso y seguridad de cualquier llave que hayamos probado.

La serie Security Key de Yubico ofrece una sólida seguridad de cuenta y excelente documentación para los recién llegados. Está disponible para puertos USB-A y USB-C (y ambas versiones funcionan con dispositivos NFC como teléfonos), pero no es compatible con los protocolos avanzados que pueden requerir algunas cuentas, por lo que está menos preparado para el futuro que nuestra elección de actualización.

Puede estar agotado

La serie Yubico Security Key admite una amplia gama de protocolos y es compatible con la mayoría de los servicios en línea que usan las personas, incluidos Google, GitHub y Dropbox. Está disponible para puertos USB-C como Yubico Security Key C NFC y para puertos USB-A como Yubico Security Key NFC. Estas llaves ofrecen la mayoría de los mismos beneficios que nuestra selección de actualización, la serie YubiKey 5, a una fracción del precio. Después de años de probar las llaves de seguridad y mantenerlas en nuestros llaveros, las encontramos duraderas y confiables. Yubico también proporciona la mejor documentación que hemos visto de cualquier fabricante de llaves de seguridad, y su excelente experiencia introductoria facilita el proceso para los recién llegados. Las llaves de seguridad de Yubico no admiten protocolos más avanzados como OpenPGP, tarjetas inteligentes y OTP, pero si no sabe cuáles son esos protocolos, probablemente no los necesite.

Anuncio

La serie YubiKey 5 tiene versiones que se adaptan a todos los dispositivos modernos, así como características premium para uso avanzado.

La serie Yubico YubiKey 5 admite una gama más amplia de protocolos de seguridad que la serie Security Key, lo que la hace compatible con más cuentas en línea. En comparación con casi todas las demás llaves de seguridad, la Serie 5 también ofrece más opciones de conexión, que incluyen USB-A, USB-C, USB-C con NFC y un modelo de puerto Lightning y USB-C de dos cabezales. También vienen como teclas nano del tamaño de una miniatura destinadas a vivir en su computadora de manera más permanente, en contraste con la forma de tecla estándar, que sobresale del puerto. Durante años de pruebas, han demostrado ser tan duraderos como las llaves de seguridad y tienen la misma excelente documentación. Los modelos de la serie YubiKey 5 pueden costar más del doble del precio de las llaves de seguridad Yubico, pero su sólida compatibilidad con más dispositivos y cuentas hace que valga la pena el precio más alto.

La serie Security Key de Yubico ofrece una sólida seguridad de cuenta y excelente documentación para los recién llegados. Está disponible para puertos USB-A y USB-C (y ambas versiones funcionan con dispositivos NFC como teléfonos), pero no es compatible con los protocolos avanzados que pueden requerir algunas cuentas, por lo que está menos preparado para el futuro que nuestra elección de actualización.

Puede estar agotado

La serie YubiKey 5 tiene versiones que se adaptan a todos los dispositivos modernos, así como características premium para uso avanzado.

Leemos artículos, sitios de reseñas, reseñas de clientes y documentos técnicos que analizan las claves de seguridad y los estándares de seguridad que utilizan. También entrevistamos a Drew Porter, fundador y presidente de la consultora de seguridad Red Mesa, para analizar quién necesita llaves de seguridad basadas en hardware, qué buscar en sus protocolos y prácticas de seguridad, y cómo los retiros anteriores afectan la confiabilidad.

Después de seleccionar las claves de Yubico para esta guía, hablamos con el director de ingeniería de Yubico, Christopher Harrell, para obtener más información sobre los beneficios de las claves de seguridad de hardware, las limitaciones de modelos específicos y las formas en que el ecosistema está cambiando.

Thorin Klosowski es el editor de privacidad y seguridad de Wirecutter. Antes de Wirecutter, escribió para Lifehacker, y en ambas publicaciones ha buscado hacer que la tecnología complicada sea fácil de entender y usar.

Yael Grauer realizó las pruebas iniciales de esta guía y escribió las recomendaciones originales en la primavera de 2020. Ha escrito sobre privacidad y seguridad en línea para Wired, Vice, BreakerMag, The Intercept, Slate/Future Tense, Ars Technica y más. ahora cubre la categoría del laboratorio digital de Consumer Reports. Colaboró ​​con Electronics Frontier Foundation en su proyecto Street-Level Surveillance y escribió planes de estudio para TrollBusters, un servicio de rescate justo a tiempo para mujeres escritoras y periodistas que sufren acoso en línea. También coorganizó eventos, impartió talleres y habló en paneles sobre seguridad digital y protección de fuentes.

Si es nuevo en la autenticación multifactor, así es como funciona el proceso típico de nuevo inicio de sesión cuando ha registrado una llave de seguridad en un sitio web o una aplicación:

Ya sea que vaya en línea para comprar, realizar operaciones bancarias, revisar su correo electrónico o usar las redes sociales, debe usar la autenticación de múltiples factores para proteger sus cuentas. Agregar una capa adicional (o capas) de seguridad a sus cuentas hace que sea más difícil que un atacante las comprometa. El Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) recomienda usar alguna forma de autenticación de múltiples factores, y es posible que ya tenga un segundo factor, como recibir un código único a través de mensajes SMS o usar una aplicación de autenticación como Authy.

Pero cuando se trata de proteger cuentas y contraseñas, las llaves de seguridad ofrecen la capa de protección más sólida. Una clave proporciona un aumento en la seguridad con respecto a una sola contraseña y puede proteger contra tipos específicos de phishing que intentan robar códigos de autenticación de dos factores. La mayoría de las personas deberían usar una clave de seguridad para tantas cuentas que la admitan, y las claves de esta guía deberían funcionar tanto para cuentas personales como comerciales (a menos que sea un empleado del gobierno o de una industria regulada, en cuyo caso es probable que tenga diferentes llaves, como la serie Yubico YubiKey 5 FIPS).

La autenticación de múltiples factores funciona al requerir la presentación de múltiples capas de evidencia, o factores, antes de permitir el acceso a una cuenta. Los factores pueden variar, pero generalmente encajan en una de tres categorías:

Los códigos de seguridad enviados por mensajes de texto tienen su propio conjunto de problemas, y aunque las aplicaciones de autenticación son preferibles a los SMS, las claves de seguridad brindan la protección más sólida contra los ataques de phishing. Por ejemplo, si tuviera que hacer clic en el enlace de un sitio web falsificado que se le envió en un mensaje de texto, un atacante que controla ese sitio puede obtener su nombre de usuario, contraseña y código de autenticación después de escribirlo todo, pero eso no puede suceder con una llave física. Además, las claves de seguridad son más fáciles de usar en una computadora que preocuparse por el teléfono. Algunas claves de seguridad, incluidas nuestras selecciones, también admiten "inicio de sesión sin contraseña", donde ni siquiera necesita una contraseña, solo la clave física en sí, para iniciar sesión. La empresa más notable que actualmente admite este tipo de inicio de sesión es Microsoft.

"Es más difícil comprometer un token de hardware que un teléfono digital, porque no todos tienen una visión perfecta de todo lo que sucede o sucede en su teléfono", dijo Drew Porter, fundador y presidente de Red Mesa. "La mayoría de las personas no monitorean todo lo que sucede en su teléfono y, por lo tanto, no pueden saber si su teléfono está comprometido".

Recomendamos tener al menos una clave de seguridad de respaldo para usar en caso de que pierda la principal.

"La gente hace muchas campañas sobre educación sobre phishing y sobre cómo enseñar a la gente a tener cuidado con la barra de URL en el navegador, pero resulta que somos humanos", dijo Christopher Harrell, director de ingeniería de Yubico. "Tenemos otras prioridades y nuestra atención es limitada". Las llaves de seguridad hacen el trabajo pesado de asegurarse de que los sitios en los que intenta iniciar sesión sean auténticos, por lo que no tiene que ser tan meticuloso para notar algo extraño. Como ejemplo, Porter señaló que muchas personas tocan sin pensar "¿Te registraste?" notificaciones automáticas en sus teléfonos incluso cuando no deberían, un problema que no surgiría si estuvieran iniciando sesión con una clave de seguridad.

Recomendamos tener al menos una clave de seguridad de respaldo para usar en caso de que pierda la principal. Con la mayoría de los servicios, puede registrar varias claves, lo que debe hacer con anticipación; de esa manera, si pierde su clave principal, puede iniciar sesión con una copia de seguridad. Si no tiene una copia de seguridad, en algunos casos se le podría bloquear una cuenta. Los diferentes sitios tienen diferentes mecanismos de recuperación, incluidas aplicaciones de autenticación, claves de recuperación basadas en SMS y códigos de respaldo (códigos de recuperación únicos que puede almacenar en algún lugar).

No todos los sitios y servicios admiten claves de seguridad, pero 1Password, Bitwarden, Dropbox, Facebook, Google, Microsoft y Twitter sí. Para ver qué servicios ofrecen claves de seguridad como una opción de autenticación, busque una marca de verificación en "Token de hardware" en el sitio del directorio 2FA.

Aunque las llaves de seguridad son más seguras que las aplicaciones de autenticación, no son la mejor opción para las personas que tienden a perder cosas. La mayoría de las personas deben tener al menos dos llaves de seguridad: una para uso diario y una llave de respaldo que pueda permanecer en un lugar seguro, como en una caja fuerte, si pierde su llave de uso diario. Algunas personas pueden querer claves adicionales para diferentes dispositivos.

Además, el ecosistema de la clave de seguridad tiene algunas asperezas. No todos los tipos de claves funcionan a la perfección en un teléfono móvil, por ejemplo, y algunas aplicaciones vuelven a las aplicaciones de autenticación en algunas circunstancias.

Las claves de seguridad pueden ser difíciles de configurar, por lo que las personas que no tengan la paciencia para hacerlo deben ceñirse a las aplicaciones de autenticación. Pero una vez que las llaves de seguridad están configuradas y en uso real, descubrimos que son mucho más fáciles de usar en la práctica que las aplicaciones de autenticación porque no es necesario copiar y pegar, ni es necesario desplazarse por los códigos para encontrar el que necesita. 'que estas buscando.

Las llaves de seguridad no son perfectas. Un trabajo de investigación (PDF) mostró cómo un pirata informático podría clonar algunas claves de seguridad, de modo que teóricamente pudieran iniciar sesión en cualquier cuenta protegida por la clave original. El ataque requiere acceso físico a la clave, alrededor de $ 12,000 en equipo y al menos 10 horas, pero ilustra cómo incluso los productos más seguros pueden tener problemas. Los investigadores realizaron su ataque a la clave Google Titan, pero señalan en su artículo que otro hardware que usa el mismo chip también puede ser vulnerable; ese grupo incluye un modelo Yubico más antiguo, el YubiKey Neo, y varias teclas fabricadas por Feitian.

Una llave de seguridad no necesita tener muchas funciones para ser útil, pero una que está mal diseñada puede ser difícil de usar. Las siguientes son las características que encontramos a través de nuestra investigación como las más importantes:

Descartamos las llaves de seguridad que tenían revisiones de propietario limitadas o que fueron diseñadas específicamente para uso gubernamental (como la serie Yubico YubiKey 5 FIPS). Siguiendo los criterios anteriores, probamos la llave de seguridad de Yubico, la llave de seguridad NFC, la llave de seguridad C NFC y YubiKey 5C, 5C NFC, 5Ci y 5 NFC; las llaves de seguridad Titan de Google (llave de seguridad USB-A/NFC y llave de seguridad USB-C/NFC); las llaves de seguridad FIDO U2F y BLE U2F de Thetis; y los modelos Solo USB-C, Solo USB-A, Solo Tap USB-C y Solo Tap USB-A de SoloKeys.

Probamos la configuración de cada tecla con varias aplicaciones y notamos problemas en el camino. Pasamos por encima de todas las llaves un par de veces con un coche para asegurarnos de que fueran lo suficientemente resistentes para soportar tal castigo, y luego las metimos en una lavadora para asegurarnos de que siguieran funcionando en caso de que dejaras la tuya en el bolsillo. Una vez que nos decidimos por las teclas Yubico como nuestras elecciones, nos comunicamos con la empresa para obtener detalles adicionales sobre las características y la compatibilidad.

La serie Security Key de Yubico ofrece una sólida seguridad de cuenta y excelente documentación para los recién llegados. Está disponible para puertos USB-A y USB-C (y ambas versiones funcionan con dispositivos NFC como teléfonos), pero no es compatible con los protocolos avanzados que pueden requerir algunas cuentas, por lo que está menos preparado para el futuro que nuestra elección de actualización.

Puede estar agotado

La mejor llave de seguridad para la mayoría de las personas es la llave de seguridad Yubico, que viene en dos formas: la llave de seguridad Yubico NFC (USB-A) y la llave de seguridad Yubico C NFC (USB-C). Estas llaves de seguridad funcionan con la mayoría de los dispositivos, incluidos teléfonos y computadoras portátiles. Cuentan con todos los protocolos de seguridad necesarios para trabajar con una amplia gama de servicios web que usa la mayoría de la gente, incluidos 1Password, Bitwarden, Google, Microsoft y muchos más. La documentación y el soporte de Yubico son los mejores que hemos visto, y las claves han demostrado ser duraderas durante años de pruebas. Con un precio inferior a $ 30, son lo suficientemente asequibles como para que pueda comprar un par (que recomendamos, para que tenga una copia de seguridad) sin gastar demasiado, especialmente considerando que no hay razón para que no duren muchos años.

En algunos casos, sugieren los expertos, los programas y las claves de seguridad que utilizan software de código abierto, que permite que cualquier persona revise el código del programa, son más seguros. Todas las claves de Yubico son de código cerrado, pero la empresa ha generado confianza en torno a sus prácticas de seguridad de otras maneras, incluidas las evaluaciones de seguridad internas y de terceros de su código para cada lanzamiento importante. Cuando Yubico tuvo una vulnerabilidad en su serie de claves YubiKey FIPS (utilizadas por agencias gubernamentales) en junio de 2019, la empresa reemplazó los dispositivos afectados. También enumera de manera proactiva los avisos de seguridad y las mitigaciones en su sitio web.

Yubico tiene videos y enlaces a instrucciones para servicios con los que quizás desee usar su clave de seguridad, incluida una lista (con imágenes) de qué clave funciona con el programa.

Las llaves de seguridad de Yubico cumplen con los estándares FIDO2 y admiten U2F, WebAuthn y CTAP 1 y 2, lo que las hace compatibles con la mayoría de los servicios web que admiten llaves de seguridad, incluidas funciones más avanzadas, como el inicio de sesión sin contraseña de Microsoft. Las llaves de seguridad estándar no ofrecen algunas de las opciones para personas súper técnicas que podrían querer, por ejemplo, poner una llave GPG en el hardware, o para usuarios empresariales que quieren una llave que funcione con tarjetas inteligentes PIV para Active Directory, o para SSH o S/MIME. Si no está familiarizado con esos términos, es poco probable que se pierda las funciones avanzadas de la Serie 5 más costosa.

Cada modelo de llave de seguridad se adapta a un puerto USB-A o USB-C, y la mayoría de los teléfonos admiten NFC, por lo que las llaves deberían funcionar bien para la mayoría de los dispositivos. Consigue la llave que encaje en el puerto de tu computadora. Si necesita más opciones, como Lightning para una conexión física a un iPhone (o ciertos modelos de iPad), o si desea teclas del tamaño de una miniatura que no sobresalgan, elija la serie YubiKey 5.

Para usar cualquier clave de seguridad, debe configurarla y vincularla con cada cuenta en línea individual. La configuración de una cuenta lleva solo un par de minutos, pero encontrar el lugar adecuado para hacerlo puede requerir un poco de trabajo de detective. Afortunadamente, la documentación de Yubico es extensa: además de una página de configuración, Yubico tiene videos y enlaces a instrucciones para servicios con los que quizás desee usar su clave de seguridad, incluida una lista (con imágenes) de qué clave funciona con el programa, información sobre compatibilidad con protocolos de seguridad, compatibilidad con plataformas de computadoras de escritorio y portátiles, compatibilidad con dispositivos móviles, compatibilidad con navegadores y cualquier oferta especial. Esta documentación es mucho más completa que lo que hemos visto de la competencia.

La mayoría de las teclas de tamaño completo de Yubico son resistentes al agua y al aplastamiento. Al igual que otras llaves que probamos, tanto las llaves de seguridad Yubico como la Serie 5 se mantuvieron bien para nosotros en nuestras pruebas regulares, y aún funcionaron bien después de que las atropelláramos con un automóvil y las pusiéramos en un ciclo en una lavadora. Todos ellos también eran fáciles de llevar en un llavero. Después de más de dos años de uso, las llaves que cuelgan de nuestros llaveros todavía parecen casi nuevas y siguen funcionando. Tuvieron los mismos resultados de durabilidad en las pruebas realizadas por el entrenador de seguridad digital de la Freedom of the Press Foundation, David Huerta.

A $25 y casi $30 para los modelos USB-A y USB-C, respectivamente, las llaves de seguridad Yubico son más baratas que las llaves de seguridad Titan de estilo similar de Google y casi la mitad del precio de la mayoría de los modelos de la serie Yubico YubiKey 5. Las llaves de seguridad de Yubico carecen de las características agradables de la serie 5, como múltiples opciones de conexión, inicio de sesión en la computadora y soporte para contraseñas de un solo uso basadas en el tiempo en la aplicación Yubico Authenticator. Pero la mayoría de las personas no necesitan esas características adicionales lo suficiente como para justificar el aumento en el precio de un modelo de la Serie 5.

En su mayor parte, encontramos que la experiencia de usar una clave de seguridad en computadoras portátiles con Windows y Mac es sencilla, pero los problemas de compatibilidad aún afectan a ciertos navegadores, y algunos programas no admiten claves directamente, por lo que usted también podría tener problemas.

La compatibilidad con dispositivos móviles se ha ampliado en los últimos años, pero aún encontramos peculiaridades con las teclas tanto en Android como en iOS; por ejemplo, en ambas plataformas, puede usar una clave para iniciar sesión en Dropbox desde el navegador de su teléfono inteligente, pero no desde la aplicación de Dropbox. Sin embargo, hemos visto mejoras en otras aplicaciones, como Facebook, que ahora admite claves en sus aplicaciones móviles, y Twitter, que pronto le permitirá iniciar sesión solo con la clave, sin necesidad de contraseña. Para agravar la confusión, algunas aplicaciones y servicios pueden admitir una clave cuando está enchufada pero no a través de NFC. Este tipo de desajustes pueden ser molestos, especialmente considerando que incluso cuando se admite NFC, aún debe mantener la tecla cerca de su teléfono y cruzar los dedos con la esperanza de que se registre. Si realmente no le gusta jugar con NFC, la serie YubiKey 5 puede ser una mejor opción.

La serie YubiKey 5 tiene versiones que se adaptan a todos los dispositivos modernos, así como características premium para uso avanzado.

Si está buscando funciones adicionales y se siente cómodo jugando con configuraciones más avanzadas en aplicaciones web, obtenga una clave en la serie Yubico YubiKey 5. La Serie 5 abarca varios modelos y, por lo tanto, es compatible con más dispositivos que cualquier otra llave, incluida la línea Security Key de Yubico. La Serie 5 tiene los mismos excelentes tutoriales en video e instrucciones de configuración de Yubico, y las teclas en sí son portátiles y duraderas, aunque cuestan casi el doble que nuestra elección principal.

Determinar qué tecla de la Serie 5 es mejor para usted depende de los dispositivos que posea. Yubico proporciona un cuestionario para ayudarlo a encontrar la clave correcta, pero el desglose es más o menos así:

La Serie 5 ofrece más opciones y combinaciones de puertos que la selección de cualquier otra compañía, incluida la línea Security Key menos costosa de Yubico y las Titan Security Keys de Google, que no tienen una opción de puerto Lightning para los propietarios de iPhone y, en cambio, dependen de NFC. Aunque la Serie 5 tiene una compatibilidad más amplia con los puertos de teléfonos inteligentes que otras opciones, todavía sufre las mismas peculiaridades aparentemente aleatorias de las llaves de seguridad de Yubico. Pero aun así, la Serie 5 admite múltiples protocolos, incluidos FIDO2, U2F, PIV, Yubico OTP y OATH HOTP, lo que ayuda a garantizar que sea compatible con tantos servicios como sea posible en el futuro.

La serie YubiKey 5 es más cara que la competencia y algunas versiones cuestan el doble que la llave de seguridad Yubico básica. Pero para muchas personas, vale la pena el alto precio porque está preparado para el futuro y agrega extras agradables de tener.

Aunque algunos de los extras en la serie YubiKey 5 no son cosas que la mayoría de las personas probablemente necesiten todos los días, es bueno tenerlos para cualquiera que busque el más alto nivel de seguridad. En particular, la Serie 5 puede generar códigos de acceso únicos basados ​​en el tiempo para hasta 32 cuentas, de forma similar a como funcionan las aplicaciones móviles Authy y Authenticator, pero las credenciales se almacenan en la clave. Esta característica requiere descargar la aplicación Yubico Authenticator y funciona con servicios que admiten otras aplicaciones de autenticación como Authy. Cuando se encuentra con un sitio con autenticación de software pero sin compatibilidad con claves, puede almacenar esos códigos en la clave. La aplicación de Yubico mostrará esos códigos solo si la clave está conectada, por lo que incluso si alguien lograra obtener su teléfono, aún necesitaría la clave para acceder a los códigos de autenticación. Ninguna de las otras llaves que probamos, incluidas las de la línea Security Key más barata de Yubico, tiene esta funcionalidad. Pero el uso de esta función le impone la responsabilidad de guardar todos los códigos de respaldo de dos factores o almacenar las credenciales en una segunda clave, así que asegúrese de sentirse cómodo haciéndolo.

Aunque es difícil de configurar, la Serie 5 también admite el inicio de sesión de la computadora en Windows, Mac y Linux para que nadie pueda acceder a su máquina sin insertar la clave después de que se inicia el sistema. La mayoría de las otras llaves, incluidos los modelos de llave de seguridad Yubico, no pueden hacer lo mismo.

Al igual que los modelos de llaves de seguridad de Yubico, las llaves de la Serie 5 han demostrado ser resistentes durante nuestros años de pruebas. Después de colgar de un llavero durante un par de años, todavía funcionan y parecen casi nuevos.

Para configurar su clave de seguridad, es mejor comenzar en una computadora portátil o de escritorio, ya que algunas aplicaciones móviles no le permitirán registrar una clave de hardware para su cuenta en su teléfono. Una vez que registre una clave en su computadora, simplemente debería funcionar con su teléfono. Como ejemplo, aquí se explica cómo configurar una clave con nuestro administrador de contraseñas favorito, 1Password. El proceso es el mismo para cualquier llave de seguridad que admita una aplicación:

Cuando haya terminado, repita el proceso con su clave de respaldo. También debe configurar una aplicación de autenticación como Authy si aún no lo ha hecho, en caso de que se encuentre con una instancia en la que no pueda usar su clave en un dispositivo móvil. El proceso es más o menos el mismo para otros servicios compatibles.

Una vez que la clave está habilitada, debería funcionar automáticamente con su teléfono inteligente si los dos tienen una conexión física. En teléfonos Android y iPhone, puede iniciar sesión con una clave NFC manteniéndola en la parte posterior de su teléfono hasta que el teléfono deje de zumbar.

En el día a día, es posible que no deba usar su llave de hardware con tanta frecuencia. Los servicios a menudo consideran diferentes factores de riesgo para determinar si se requiere. Algunos sitios pueden pedirle que la inserte cuando esté administrando el tipo de autenticación que está usando, mientras que otros pueden pedirle que use su clave solo cuando inicie sesión desde una computadora nueva.

SoloKeys anunció un rediseño de su próxima generación de llaves de seguridad que abandona el diseño de botón pulsador con el que luchamos en favor de botones laterales sensibles al tacto similares a los de las llaves Yubico y Google. SoloKeys también tiene planes para mejorar el rendimiento de NFC, agregar impermeabilización y más. Planeamos probar las nuevas claves cuando estén disponibles.

Las llaves de seguridad Titan de Google incluyen modelos USB-A y USB-C, ambos compatibles con NFC. Las claves Titan solo admiten U2F, no FIDO2, que actualmente utilizan servicios como Microsoft y pueden ser utilizadas por posibles cuentas "sin contraseña" en el futuro. Las claves de Google funcionan con su Programa de Protección Avanzada, que es útil para activistas, periodistas, equipos de campañas políticas o ejecutivos, pero su mayor seguridad implica algunas compensaciones de usabilidad. La poca documentación que proporciona Google no es útil, e incluso averiguar qué protocolos y estándares cumple la clave requiere una investigación significativa. Ambas llaves Titan son muy similares a los modelos de llaves de seguridad de Yubico, aunque descubrimos que su plástico blanco es más propenso a acumular suciedad cuando las llaves están unidas a un llavero. Las teclas Titan están bien si ya tienes una, pero todas las opciones de Yubico están más preparadas para el futuro.

Las llaves de seguridad Feitian vienen con la mayoría de las mismas características y protocolos de seguridad que las opciones de Yubico, y ofrecen una variedad de opciones de conectividad, que incluyen USB-C y NFC e incluso una opción de huella digital. Feitian es también la empresa que fabrica las claves de Google. Pero su documentación, incluida la información básica sobre características y seguridad, no es tan buena como la de Yubico; algunos enlaces en el sitio de la empresa incluso conducen a páginas sin terminar. Sin embargo, las claves Feitian suelen costar la mitad del precio de las opciones similares de Yubico, y pueden ser una opción lo suficientemente buena si ya tiene experiencia con las claves de seguridad.

Tanto Google como Feitian recibieron críticas de los expertos por la falta de transparencia en el proceso de producción de las llaves, que se fabrican en China. No encontramos ninguna información nueva sobre la producción de estas claves, ni ninguna noticia que sugiera que esto ha sido un problema desde que se introdujeron las claves en 2018.

SoloKeys son las primeras llaves de seguridad FIDO2 de código abierto; permiten a los desarrolladores contribuir al proyecto o presentar informes de errores en GitHub. Pero cada tecla consiste simplemente en una placa de circuito y una funda de silicona suave que usted mismo coloca, y en nuestras pruebas, las teclas no parecían tan duraderas como las otras que probamos. Además, los estuches para las versiones USB-C no encajaban tan bien: en lugar de simplemente tocar la tecla para que funcionara, teníamos que presionarla y descubrimos que presionar no siempre funcionaba.

La serie YubiKey Bio de Yubico viene en modelos USB-C y USB-A y cuenta con reconocimiento de huellas dactilares en lugar de una simple autenticación táctil. Este diseño agrega una capa de seguridad adicional a su clave, ya que si alguien la roba, no puede usarla. Pero con un precio de $80 a $85, las teclas Bio no son necesarias para la mayoría de las personas.

Nos gusta el diseño físico de las llaves Thetis porque es un diseño desplegable que protege la parte principal de la llave. Probamos dos de las llaves USB-A de la empresa; ambas teclas, pero especialmente la tecla NFC, eran más voluminosas que las otras teclas que probamos. Thetis carece de buena documentación y no pudimos encontrar ninguna información en el sitio web de la empresa sobre cómo los investigadores de seguridad podrían informar vulnerabilidades.

Si pierde su clave de seguridad, es posible que no pueda iniciar sesión en ninguna cuenta que la requiera. Es por eso que recomendamos registrar dos claves, una primaria y una de respaldo. Algunos servicios también pueden requerir otro método de copia de seguridad, como una aplicación, mensaje de texto o autenticación por correo electrónico.

Los servicios de correo electrónico y las redes sociales más populares admiten claves de seguridad como segundo factor de autenticación. Puede encontrar una lista completa de casi todos los sitios web que los admiten aquí.

Si las llaves de seguridad no son una opción, sugerimos usar una aplicación en lugar de mensajes de texto o correo electrónico, siempre que sea posible. La verificación de mensajes de texto se puede eludir mediante el intercambio de SIM cuando alguien usa ingeniería social para asignar su número de teléfono a una nueva SIM para que puedan interceptar sus tokens de SMS), y la verificación de correo electrónico solo es segura si tiene una autenticación sólida de dos factores. esa cuenta de correo electrónico también.

Tanto Android como iOS admiten claves de seguridad a través de una entrada física (USB-C o Lightning) o NFC. Pero no todas las aplicaciones admiten las claves para iniciar sesión, por lo que a veces es posible que deba usar otro método en su teléfono, como una aplicación o, menos preferiblemente, un mensaje de texto.

Drew Porter, fundador y presidente de Red Mesa, entrevistas telefónicas y por correo electrónico, 12 de diciembre de 2019

Christopher Harrell, director de ingeniería de Yubico, entrevistas telefónicas y por correo electrónico, 24 de enero de 2020

Paul Stamatiou, Introducción a las llaves de seguridad, PaulStamatiou.com, 21 de octubre de 2019

Stefan Etienne, Las mejores claves de seguridad de hardware para la autenticación de dos factores, The Verge, 22 de febrero de 2019

Chris Hoffman, Las llaves de seguridad de hardware siguen siendo retiradas del mercado; ¿Son seguros?, How-To Geek, 14 de junio de 2019

La mejor revisión de llaves de seguridad, Guía de bloqueo de llaves, 6 de junio de 2019

Brad Hill, Reseñas de U2F, GitHub, 5 de septiembre de 2018

yael gris

Yael Grauer es una periodista tecnológica de investigación con sede en Phoenix. Su trabajo ha aparecido en The Intercept, Wired, Ars Technica, Motherboard, Future Tense, OneZero y más. Le gusta cocinar, caminar, jugar juegos de rompecabezas, escuchar música bluegrass y pasar tiempo con su esposo y su chiweenie de rescate.

Thorin Klosowski

Thorin Klosowski es el ex editor de temas de privacidad y seguridad en Wirecutter. Ha estado escribiendo sobre tecnología durante más de una década, con énfasis en aprender haciendo, es decir, rompiendo cosas con la mayor frecuencia posible para ver cómo funcionan. Para bien o para mal, aplica ese mismo enfoque de bricolaje a sus informes.

por Haley Perry

Desde administradores de contraseñas hasta software de respaldo, estas son las aplicaciones y servicios que todos necesitan para protegerse de las infracciones de seguridad y la pérdida de datos.

por Andrew Cunningham y Thorin Klosowski

Todos deberían usar un administrador de contraseñas, y después de investigar docenas y probar seis, recomendamos 1Password porque es seguro y fácil de usar.

por Thorin Klosowski

La reutilización de contraseñas aumenta la probabilidad de que otra persona acceda a sus cuentas. Estos son algunos consejos para mantener contraseñas seguras.

por Thorin Klosowski

Antes de deshacerse de teléfonos, computadoras portátiles u otros dispositivos, asegúrese de no entregar sus datos a extraños.