El hackeo de Evernote muestra que las contraseñas no son lo suficientemente buenas

Evernote reveló durante el fin de semana que fue víctima de una violación de datos, enviando correos electrónicos a usuarios y publicando un aviso en su sitio web que los atacantes habían obtenido acceso a nombres de usuario, direcciones de correo electrónico y contraseñas encriptadas asociadas con las cuentas de Evernote. Como medida de precaución, Evernote obligó a los 50 millones de usuarios a restablecer sus contraseñas. Es un buen paso, pero en realidad no es lo suficientemente bueno, por lo que Evernote está acelerando su plan para implementar autenticación de dos factores.

Los usuarios de Evernote fueron excluidos de sus cuentas hasta que cambiaron sus contraseñas.

Evernote no era Originalmente diseñado como un servicio comercial, al menos hasta el lanzamiento de Evernote for Business en diciembre. Evernote es principalmente una herramienta organizativa y de toma de notas similar a OneNote de Microsoft. Evernote ofrece una amplia gama de servicios, incluidos Evernote Food, Evernote Peek, Skitch, Penultimate y más, como herramientas o aplicaciones basadas en la web en una amplia gama de sistemas operativos y plataformas móviles. Su capacidad para acceder y sincronizar datos a través de una amplia gama de dispositivos lo hace atractivo como una herramienta de negocios.

Por su propia naturaleza, Evernote es un excelente ejemplo de un servicio donde guarda datos personales y profesionales. Al igual que cualquier servicio basado en la nube, presenta algunos riesgos inherentes. Cada vez que coloca datos comerciales en la nube, particularmente información delicada, como nombres o direcciones de clientes, datos bancarios o financieros o investigaciones de empresas propietarias, confía en que el proveedor la proteja. Sin embargo, la gran advertencia es que usted sigue siendo el responsable de lo que ocurre con sus datos.

[Más información: los mejores servicios de transmisión de TV]

¿Una contraseña para controlarlos a todos?

Después del ataque, Evernote lanzó una actualización de software.

Evernote afirma que los datos de la contraseña capturados por los atacantes fueron encriptados, pero aún así hizo que todos los usuarios seleccionaran nuevas contraseñas, por las dudas. Según la respetada autoridad de seguridad, Brian Krebs, señala en su blog sobre el incumplimiento de Evernote, los algoritmos de hashing y salazón estándar utilizados por los proveedores para encriptar datos de contraseñas ofrecen una protección trivial que puede descifrarse con relativa facilidad.

Una solución sería usar contraseñas o frases de contraseña, y para garantizar que no use la misma contraseña para más de un servicio. Cuando lo hace, una violación de datos en un proveedor puede exponer su contraseña, lo que podría permitirle al atacante acceder a todas sus cuentas en lugar de limitar el daño al que se violó.

Por supuesto, recordar decenas o cientos de contraseñas es un poco una tarea hercúlea, especialmente si está utilizando contraseñas fuertes y complejas. Mi compañero PCWorld John Mello sugiere algunas opciones para simplificar la administración de contraseñas, como OneID, KeePass y RoboForm.

La verdadera lección del hackeo de Evernote es que las contraseñas no ofrecen una protección muy buena para sus datos. Las contraseñas únicas que son complejas ofrecen una mejor protección que el uso del nombre de su perro o ninguna contraseña, pero en última instancia, todas las contraseñas pueden crujirse o adivinarse, con suficiente tiempo y esfuerzo.

Pasar a la autenticación de factores múltiples

Con eso mente, Evernote se une a Facebook, Dropbox, Microsoft SkyDrive, PayPal, Gmail y una creciente lista de proveedores de servicios en línea mediante la adopción de autenticación de dos factores.

Un ejemplo de autenticación de dos factores en el trabajo

Autenticación de múltiples factores proporciona una capa adicional de protección para proteger sus datos. La autenticación basada en teléfono, por ejemplo, puede aumentar drásticamente la seguridad. Probablemente haya encontrado un aviso de autenticación basada en el teléfono cuando intente iniciar sesión en el sitio web de un banco desde un dispositivo que normalmente no usa.

Con la autenticación basada en el teléfono, se envía un código aleatorio o de una sola vez a un teléfono móvil, y se debe ingresar además del nombre de usuario y contraseña estándar. Algunas soluciones usan una aplicación móvil para generar un PIN de una sola vez. De cualquier forma, para que un atacante pueda acceder a la cuenta, ambos tendrán que descifrar su contraseña y estar en posesión de su teléfono móvil.

Hay muchas otras opciones además de la autenticación basada en teléfono, como tokens de acceso, tarjetas inteligentes y verificación de correo electrónico. El método exacto varía ampliamente. Sin importar la implementación, la autenticación de dos factores proporciona una capa adicional de protección, y Evernote debe ser elogiado por ofrecerla.