2FA archivos - Pablo Alejandro Fain

Configurando la autenticación multifactor en WordPress con Duo Security

marzo 21, 2019marzo 19, 2019 por Pablo Alejandro Fain

Que la autenticación multifactor cumple un rol fundamental en la seguridad de nuestras cuentas no es algo nuevo ni discutible. Según la un informe de la compañía Netcraft, más de 75 millones de sitios corren bajo el CMS WordPress. De esos 75 millones, poco más de 37 millones son self-hosted, es decir que no corren en la solución basada en la nube de WordPress sino en plataformas de hosting/VPS de terceros. Tengo que reconocer que a esta altura me sorprende que WordPress no tenga soporte para autenticación multifactor de manera nativa, sin embargo existen decenas de plugins que permiten agregarla …

Atacantes lograron eludir la autenticación multifactor

febrero 4, 2019diciembre 19, 2018 por Pablo Alejandro Fain

Cuando de buenas prácticas para la protección de nuestra presencia en línea se trata, ustedes saben que mi principal recomendación es habilitar la autenticación multifactor (doble factor de autenticación, o autenticación de dos pasos). Pero los atacantes siempre se las ingenian, y esta vez lograron engañar a los usuarios para hacerse del código temporal (token) necesario para completar la autenticación multifactor. Un reporte publicado hace apenas algunas horas por Aministía Internacional muestra en detalle cómo se dieron estos ataques a cuentas de usuarios de Gmail y Yahoo, incluso a aquellos con autenticación multifactor habilitada. Las víctimas eran dirigidas a un …

123456 sigue siendo la contraseña más utilizada

diciembre 17, 2018diciembre 17, 2018 por Pablo Alejandro Fain

No, no es broma. Le sigue “password“, y la lista continúa. Como todos los años, el equipo de SplashData publicó el ranking de las peores contraseñas utilizadas por los usuarios. Para armarlo, evaluaron más de cinco millones de contraseñas comprometidas en violaciones de datos que se hicieron públicas. Pero no siempre se puede culpar al usuario por sus malas decisiones. Hay que tener en cuenta que, durante muchos años (y hoy sigue pasando), los sitios aplicaron políticas de restricción absurdas que obligaron a los usuarios a caer en el uso de este tipo de contraseñas. Según el NIST (National Institute of Standards …

Las cuentas Microsoft ahora soportan autenticación sin contraseña mediante dispositivos FIDO 2

diciembre 6, 2018noviembre 24, 2018 por Pablo Alejandro Fain

Microsoft y Yubico anunciaron esta semana que los usuarios de cuentas Microsoft (aquellas con dominio terminado en msn.com, hotmail.com, outlook.com, etc.) podrán iniciar sesión sin necesidad de ingresar una contraseña. Simplemente deberán insertar un dispositivo compatible con el estándar FIDO2/WebAuthn, como la YubiKey 5. Los usuarios de Office 365 deberán esperar unos meses más. Hace ya algunos años que Microsoft viene trabajando en su estrategia de inicio de sesión sin contraseñas -passwordless-. La aprobación de inicio de sesión a través de las notificaciones push de su aplicación Microsoft Authenticator son un gran ejemplo. El usuario ingresa su dirección de e-mail, …

Qué pasa cuando la autenticación multifactor falla

diciembre 19, 2018noviembre 22, 2018 por Pablo Alejandro Fain

El lunes 19 de Noviembre, alrededor de las 04:39 UTC, usuarios de los servicios de Office 365 y Azure alrededor del mundo comenzaron a experimentar problemas para iniciar sesión en sus cuentas. Al intentarlo, luego de ingresar la dirección de e-mail de la organización y la contraseña, se podía observar la clásica página de inicio de sesión aguardando la aprobación multifactor o el ingreso del token de seis dígitos. Para el caso de la aprobación, el pedido nunca llegaba a la aplicación Microsoft Authenticator. Los tokens, por su parte, directamente no funcionaban, y los SMS no llegaban al usuario. La página de …

Por qué no es una buena idea reutilizar contraseñas (el caso HSBC)

enero 4, 2019noviembre 12, 2018 por Pablo Alejandro Fain

Hace pocos días uno de los bancos más grandes el mundo, HSBC, confirmó que algunos de sus clientes en los Estados Unidos fueron víctimas de un ataque conocido como credential stuffing. Este tipo de ataque utiliza nombres de usuario y contraseñas previamente comprometidos para obtener acceso a otros servicios. En respuesta a la BBC, el banco informó: HSBC lamenta este incidente, y tomamos la responsabilidad de proteger a nuestros clientes muy en serio. Hemos notificado a los clientes cuyas cuentas han podido ser víctimas de este acceso no autorizado, y les hemos ofrecido un año de servicio de monitoreo de …

¿Cómo funciona la autenticación multifactor?

enero 11, 2019agosto 18, 2018 por Pablo Alejandro Fain

Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- violaciones de datos. Hoy vamos a hablar sobre el doble factor de autenticación, también conocido como two factor authentication, 2FA, o MFA -multi factor authentication-, por sus siglas en inglés. El concepto de doble factor de autenticación (aunque algunos lo llaman autenticación de dos pasos, pero eso lo vamos a hablar más adelante) dice que …