Yubikey: autenticación sin contraseñas
Fabricada por la empresa sueca-estadounidense Yubico, una YubiKey es un dispositivo físico de autenticación de hardware
(con apariencia similar a un llavero USB) diseñado para proteger el acceso a ordenadores, cuentas en línea, redes
corporativas y servidores.
Su nombre proviene de la combinación de “your ubiquitous key” (tu llave omnipresente) y “yubi”, la palabra
japonesa para dedo, haciendo referencia a la acción de tocar el dispositivo para verificar la identidad del usuario.
A diferencia de las aplicaciones de autenticación en el móvil (como Google Authenticator o Authy) o los códigos SMS —que pueden ser interceptados o víctimas de ataques de phishing avanzado—, la YubiKey ofrece un nivel de seguridad radicalmente superior basado en criptografía física.
Para lograrlo soporta varios mecanismos: contraseñas de un solo uso (OTP), criptografía de clave pública y los protocolos U2F y FIDO2, desarrollados dentro de la Alianza FIDO. El principio es simple. En lugar de depender solo de algo que sabes (una contraseña), añades algo que tienes (la llave). Aunque un atacante consiga tu contraseña, sin el dispositivo físico no puede completar el inicio de sesión. Además, la YubiKey puede guardar contraseñas estáticas para webs que no admiten métodos modernos, y varios gestores de contraseñas, como LastPass o KeePass, la soportan.
Pros
La versatilidad es su gran atractivo. Según el modelo, una YubiKey puede:
-
Generar contraseñas de un solo uso con los algoritmos HOTP y TOTP, presentándose ante el ordenador como un teclado USB.
-
Funcionar como tarjeta inteligente PIV, útil para firmar imágenes de Docker o para autenticarse con certificados en Microsoft Active Directory y en SSH.
-
Actuar como tarjeta OpenPGP, con claves RSA o criptografía de curva elíptica, permitiendo firmar, cifrar y descifrar sin que la clave privada salga nunca del dispositivo.
-
Autenticar sin contraseña mediante FIDO2/WebAuthn, el camino hacia un futuro en el que iniciar sesión sea tocar un botón. Un detalle técnico curioso es ModHex, un alfabeto hexadecimal modificado que usa solo las letras «cbdefghijklnrtuv». Existe porque la llave, en modo teclado, envía códigos de tecla en bruto, y con ese conjunto de caracteres se evitan problemas en teclados con distribuciones distintas, como Dvorak. FIDO2 y U2F no sufren este problema, ya que usan un protocolo binario propio en vez de simular un teclado.
-
No necesita carga eléctrica ni conexión Bluetooth. Es un dispositivo pasivo que solo se alimenta de energía durante los pocos segundos que dura la conexión USB o NFC.
-
No almacenan tus datos personales ni tus contraseñas en los servidores de Yubico; todo el proceso criptográfico ocurre de forma local dentro del chip seguro del dispositivo.
Contras
Gran parte del firmware es privativo. Desde la cuarta generación, el código que se publica no es el que llevan las unidades nuevas, y como el firmware viene bloqueado de fábrica, no puedes compilar la versión abierta y cargarla tú mismo: debes confiar en que lo que viene en la llave es auténtico y seguro. En 2016, Yubico defendió su postura argumentando que los controladores comerciales de uso general no son adecuados para productos de seguridad, mientras que críticos como Mike Masnick, de Techdirt, sostuvieron que la revisión abierta por muchos expertos es la mejor defensa contra los fallos.
Vulnerabilidades reales. Con los años se han publicado varios avisos:
- ROCA (2017): un fallo en una biblioteca criptográfica de chips Infineon permitía reconstruir una clave privada RSA a partir de la pública. Afectó a ciertas revisiones de la YubiKey 4 y Yubico ofreció reemplazos gratuitos hasta marzo de 2019.
- YubiKey NEO (2018): la protección con contraseña de la función OTP podía saltarse en determinadas condiciones. Se corrigió con una actualización de firmware y también hubo reemplazos gratuitos.
- Aleatoriedad reducida en claves FIPS (2019): afectó solo a esa serie y a ciertos escenarios, y de nuevo la empresa ofreció reemplazos.
Conclusión
Yubikey no es una solución mágica ni elimina la necesidad de mantener buenos hábitos de seguridad, pero sí añade una capa de protección muy valiosa. Implementar autenticación basada en hardware no es solo una buena práctica, sino un mecanismo de control efectivo para eliminar el eslabón débil de la identidad y garantizar el cumplimiento de los esquemas de autenticación multifactor resistentes al phishing (MFA Phishing-Resistant).