Google sugiere joyas o un dispositivo como contraseña de próxima generación

Google cree que podría haber encontrado una respuesta al fastidioso problema de las contraseñas olvidadas o débiles: contraseñas" físicas ", que podrían venir en forma de una pieza de joyas como un anillo.

En un trabajo de investigación, dos de sus ingenieros escriben que las estrategias actuales para evitar el secuestro de cuentas en línea, incluido el sistema de verificación de identidad en dos pasos, son insuficientes, en parte debido a la constante amenaza de ataques que explotan nuevos errores.

Google destaca el phishing, en el que los hackers engañan a los titulares de cuentas para que revelen información sensible al hacer que inicien sesión en una página de inicio de sesión falsa, como una de las mayores amenazas de seguridad de hoy.

[Más leyendo: Cómo re mueva el malware desde su PC con Windows]

"Es hora de abandonar las elaboradas reglas de contraseña y buscar algo mejor", dicen los autores. El documento de investigación, escrito por Eric Grosse y Mayank Upadhyay de Google, se publicará el 28 de enero en la publicación IEEE Security & Privacy. Inicialmente, Wired lo informó el viernes.

[[Ver también " 'Contraseña' sigue siendo la peor contraseña, pero ten cuidado con 'ninja' "y" Cómo encontrar la felicidad en un mundo de locura con contraseña ".]]

Google prueba dispositivo USB

En el centro de la propuesta de Google está una idea que dice que ha sido utilizada por las empresas pero que ha tenido poco éxito entre los consumidores: un dispositivo cifrado similar a USB que la gente utilizaría para iniciar sesión en sitios web protegidos con contraseña y cuentas en línea. Google dice que está trabajando en un piloto interno con un dispositivo USB experimental que los usuarios primero se registran en varios sitios web donde tienen cuentas. Un navegador compatible haría que dos nuevas API (interfaces de programación de aplicaciones) disponibles para el sitio web pasen al dispositivo adjunto.

"Se llama a una de estas API durante el paso de registro, lo que hace que el hardware genere un nuevo público. par de claves privadas y enviar la clave pública al sitio web ", explica el documento. "El sitio web llama a la segunda API durante la autenticación para enviar un desafío al hardware y devolver la respuesta firmada."

El método no requeriría la instalación de ningún software, aunque los usuarios necesitarían usar un navegador web que sea compatible. con el esfuerzo, dijo Google. Los protocolos de registro y autenticación serían abiertos y gratuitos, y el dispositivo se conectaría con el USB de una computadora sin necesidad de ningún controlador de dispositivo OS.

Básicamente, los Googlers visualizan un único dispositivo que las personas pueden deslizar en una ranura USB y luego usar para iniciar sesión en cualquier número de cuentas en línea con un solo clic del mouse.

Debido a que transportar otro dispositivo puede no ser popular entre los consumidores, Google sugiere que el dispositivo de autenticación podría integrarse en un teléfono inteligente o incluso en una pieza de joyería. El dispositivo podría autorizar una nueva computadora para usar con un solo toque, incluso en situaciones en las que el teléfono podría estar sin conectividad celular.

Equilibrio entre problemas, seguridad

La tecnología busca mejorar la actual, sistema opcional de verificación en dos pasos. Con ese sistema, cuando los usuarios desean iniciar sesión en un servicio de Google desde una computadora nueva, se les solicita que ingresen un código enviado a su teléfono móvil prerregistrado, otorgándoles acceso al sitio.

La compañía dice que su experiencia con eso el sistema ha sido bueno, aunque los hackers de la cuenta también pueden abusar de él. Después de robar una contraseña e ingresar a una cuenta, a veces configuran una autenticación de dos factores usando su propio número de teléfono, "solo para ralentizar la recuperación de la cuenta por parte del verdadero propietario", escribieron los ingenieros de Google.

Google admite que El enfoque propuesto de la llave USB es "especulativo" y que deberá ser aceptado a gran escala. Pero la firma dijo que está ansiosa por probar el dispositivo con otros sitios web.

"El registro del dispositivo de usuario con los sitios web de destino debe ser simple y no debe requerir una relación con Google o cualquier otro tercero", escriben los ingenieros. "Los protocolos de registro y autenticación deben ser abiertos y gratuitos para que cualquiera los implemente en un navegador, dispositivo o sitio web".

Google no dijo si el sistema experimental podría hacerlo funcionar o cuándo. "Estamos enfocados en hacer que la autenticación sea más segura y más fácil de administrar. Creemos que experimentos como estos pueden ayudar a mejorar los sistemas de inicio de sesión", dijo un portavoz por correo electrónico.