¿Qué pasa si pierdes el dispositivo con tu clave de acceso? Claves sincronizadas vs. vinculadas al dispositivo

Perder el teléfono es aún peor cuando tus inicios de sesión dependen de él. Que tus claves de acceso sobrevivan depende de una sola cosa: si estaban sincronizadas entre dispositivos o vinculadas al que perdiste.

Esto es lo que pasa en cada caso, por qué la recuperación de la cuenta es el punto débil, qué hacer primero y cómo prepararte. Este artículo describe cómo funcionan las claves de acceso en general; los pasos exactos varían según el servicio y el dispositivo.

Lo que pasa depende del tipo de clave de acceso

Una clave de acceso sincronizada se respalda mediante un servicio de sincronización y aparece en tus otros dispositivos. Una clave de acceso vinculada al dispositivo permanece en un solo dispositivo y no se puede copiar; así funcionan las claves de acceso almacenadas en una llave de seguridad física, según la FIDO Alliance.

Las pautas de identidad digital del NIST muestran esta disyuntiva. Permiten claves que se pueden exportar, como las claves de acceso sincronizadas, en el nivel de garantía intermedio, pero las prohíben en el nivel más alto, que exige una clave que no pueda salir del dispositivo. Las pautas se aplican a los sistemas gubernamentales, pero reflejan la misma elección: cuanto más se puede mover una clave, más fácil es recuperarla y menos queda vinculada a un solo dispositivo físico.

Si pierdes un dispositivo con una clave de acceso sincronizada

El NCSC del Reino Unido explica que las claves de acceso sincronizadas se propagan a todos los dispositivos de la misma cuenta de sincronización, así que perder un dispositivo no te quita el acceso si tienes otro. Si el dispositivo perdido era el único que tenías, necesitarás uno nuevo, prestado o comprado, y recuperarás el acceso al restaurar la cuenta de sincronización. Una vez restaurada esa cuenta, tus claves de acceso volverán con ella.

Por eso, la cuenta de sincronización es la pieza clave. Si se puede recuperar de forma segura, recuperas todo lo que contiene. Si su proceso de recuperación es débil, un atacante puede intentar usar esa misma vía. La FIDO Alliance también describe el inicio de sesión entre dispositivos, que permite usar una clave de acceso de un dispositivo cercano para iniciar sesión en otro; esto ayuda si estás usando una computadora que no tiene tus claves de acceso.

Si pierdes un dispositivo con una clave de acceso vinculada a él

Una clave de acceso vinculada al dispositivo no se puede exportar, así que, si pierdes el dispositivo o la llave de seguridad, también pierdes la credencial. El NCSC dice que, en esta situación, los usuarios deben recurrir a una copia de seguridad que hayan registrado antes o seguir el proceso de recuperación de la cuenta de cada servicio. También señala que quienes eligen una credencial para un solo dispositivo son responsables de administrar sus propias copias de seguridad y que los servicios deberían recomendar registrar una de repuesto.

Por qué la recuperación es el punto débil

Cuando se pierde una clave de acceso, la recuperación determina qué tan seguro estás realmente. El NCSC señala que los atacantes apuntan a la recuperación de cuentas porque suele ser más débil que el inicio de sesión, sobre todo en ataques motivados por razones financieras o cuando el atacante ya controla el correo electrónico de la víctima. Una clave de acceso resiste el phishing, pero no sirve de ayuda si alguien puede convencer al servicio o restablecer la cuenta aprovechando una vía de recuperación más débil.

Los métodos de recuperación que configuras con anticipación importan por la misma razón. El NIST describe los códigos de recuperación guardados como secretos de un solo uso que almacenas para utilizarlos si pierdes otro autenticador. Son útiles, pero no resisten el phishing, así que deben guardarse sin conexión y en privado.

Qué hacer primero y cómo prepararte

Si pierdes un dispositivo, empieza por lo que todavía tienes. Usa otro dispositivo si tienes uno, revisa si hay dispositivos que no reconoces en la cuenta de sincronización y protege primero esa cuenta. Según el NCSC, eliminar una clave de acceso de un dispositivo perdido no la cancela automáticamente en el servicio; por eso, en las cuentas importantes, elimina la clave de acceso antigua desde la configuración de seguridad de la cuenta, si el servicio lo permite. El NIST también espera que los servicios ofrezcan una forma de invalidar un autenticador perdido en cuanto lo reportes.

La mejor preparación es hacerlo antes de necesitarlo. Registra más de una clave de acceso o método de inicio de sesión en las cuentas importantes, guarda los códigos de recuperación sin conexión, protege la cuenta de sincronización con un inicio de sesión seguro y usa un PIN seguro en el dispositivo, ya que el NCSC señala que un ladrón que conozca un código de acceso débil podría usar las credenciales almacenadas. Mantén también actualizados tu correo electrónico y número de teléfono de recuperación.

Recordatorio de WEEX: registra una copia de seguridad antes de necesitarla

WEEX recuerda a los usuarios que configuren más de una forma de volver a acceder a sus cuentas importantes y que guarden los códigos de recuperación sin conexión, no en capturas de pantalla ni en notas en la nube. Después de perder un dispositivo, considera que todo lo almacenado en él está expuesto hasta que hayas protegido tus cuentas, y nunca compartas un código de recuperación ni una frase semilla con alguien que se ofrezca a ayudarte. Una clave de acceso no respalda una billetera, así que la frase semilla de una billetera de autocustodia necesita su propia copia de seguridad segura y sin conexión. Nada de lo aquí expuesto constituye asesoría financiera.

Conclusión

Es posible sobrellevar la pérdida de un dispositivo si te preparaste para ello. Una clave de acceso sincronizada te acompaña en otros dispositivos y se restaura al recuperar la cuenta de sincronización, mientras que una clave de acceso vinculada al dispositivo se pierde para siempre, a menos que hayas registrado una copia de seguridad. En ambos casos, los atacantes apuntan a la recuperación de cuentas; por eso, protegerla, guardar los códigos de recuperación sin conexión y registrar más de una forma de acceder son los pasos más importantes.

Preguntas frecuentes

1. ¿Qué pasa si pierdo el teléfono que tiene mis claves de acceso?
Depende del tipo. Las claves de acceso sincronizadas están disponibles en otros dispositivos de la misma cuenta de sincronización, o se restauran al recuperar esa cuenta. Las claves de acceso vinculadas al dispositivo no se pueden copiar, así que necesitarás una copia de seguridad que hayas registrado antes o recurrir al proceso de recuperación de la cuenta del servicio.

2. ¿Alguien puede usar mi clave de acceso si encuentra el teléfono que perdí?
Por lo general, para usar una clave de acceso hay que desbloquear el dispositivo con datos biométricos o un PIN. El NCSC señala que alguien que haya robado un dispositivo y conozca un código de acceso débil podría usar las credenciales almacenadas, así que es importante tener un PIN seguro.

3. ¿Tengo que quitar la clave de acceso de mis cuentas después de perder un dispositivo?
En las cuentas importantes, sí, siempre que el servicio lo permita. El NCSC dice que eliminar una clave de acceso de un dispositivo no la invalida automáticamente en el servicio, y el NIST espera que los servicios te permitan invalidar un autenticador perdido.

4. ¿Qué pasa si pierdo mi único dispositivo y mi única clave de acceso?
Tendrás que seguir el proceso de recuperación de la cuenta del servicio. La recuperación suele ser más débil que el inicio de sesión, así que mantén actualizados tu correo electrónico y teléfono de recuperación y guarda tus códigos de recuperación sin conexión.

5. ¿Debería registrar más de una clave de acceso?
Si el servicio lo permite, sí. El NCSC recomienda que los servicios admitan varias credenciales en una sola cuenta y sugiere registrar una copia de seguridad para las credenciales de un solo dispositivo.