Google, GMail y la autenticación de doble factor (SMS Code)

Cuando me encuentro iniciativas como las de #Google para proteger el acceso a GMail, me anima a pensar que cada día, las empresas, están más concienciadas sobre la seguridad y la necesidad de la misma, para la sociedad actual. 

El servicio GMail ha dado un paso en la seguridad de todos los usuarios ofreciendo la capacidad de configurar el acceso mediante autenticación de doble factor: "contraseña habitual" + "SMS code", es decir, que para poder acceder al correo nos enviará un SMS a nuestros móvil para verificación de identidad.

Es un paso para proteger nuestra cuenta, eso esta claro, no obstante existen otras opciones de autenticación más robustas, como por ejemplo: integración del control de validación de acceso al servicio con DNIe, o cualquier otra infraestructura de clave pública (PKI) que permitiera identificarnos mediante un certificado personal más una contraseña.

La diferencia entre utilizar certificados y SMS Code, es la facilidad del despliegue y distribución, es más complicado gestionar la PKI con los certificados, y distribuirlos a todos los usuarios, que utilizar un simple SMS Code, sin ninguna complicación adicional para el usuario.

¿Tengo que utilizar siempre el código de verificación para acceder al Gmail?

A este respecto, Google ha pensado que utilizamos un solo uno o varios ordenadores de manera frecuente para acceder a nuestro correo, pero ¿Qué pasa si utilizo varios? Es decir, el ordenador del trabajo, con el móvil, en casa (portátil y fijo), etc.

¿Cómo resolveremos esto?

En principio, Google insertará una "Cookie" de control en nuestro navegador que le permitirá conocer que ordenador has "identificado" como habitual, es decir, aquel dispositivo que no tenga la cookie será considerado como público o no confiable, por lo que automáticamente el sistema utilizará el "doble" factor de autenticación. Para los equipos confiables, seguirás accediendo a tu servicio de Gmail como siempre.

Lo malo, es que parece que no han tenido en cuenta la posibilidad de acceder desde varios equipos confiables mediante el navegador web, por lo que según parece, solo puedes establecer un solo "equipo" como habitual y confiable. Se puede acceder desde varios equipos sin tener que utilizar constantemente el código de verificación, simplemente estableciendo el equipo como "habitual" al decirle que "Recuerde el ordenador" durante 30 días.

Lo que si han tenido Google no se ha olvidado de la utilización de aplicaciones (Android, POP3, IMAP, Outlook, etc) por lo que recomiendan generar nuevas "palabras clave de transición", es decir, contraseñas especificas para cada una de las aplicaciones, de forma que no se "exponga" tu contraseña real de acceso a la cuenta de Google.

Si se pulsa en "Crear contraseñas" tendrás una visión sobre las aplicaciones que tiene acceso a tu cuenta Google, podrás revocar el "acceso actual" y "generar" una contraseña de "paso" para volver a autorizar a las aplicaciones que necesites. Todo ello muy bien explicado y en Español.

¿Desactivar la verificación a dos pasos?

Si te has equivocado de equipo, se puede desactivar la "verificación de dos pasos" en la configuración de la cuenta de Gmail.

Resumiendo

Mi única crítica al respecto es ¿Porque no puedo establecer los ordenadores confiables que yo necesite?. Salvo por esta inquietud, todo lo que sea introducir mecanismos de protección de los usuarios, y que las empresas tomen "responsabilidad y compromiso" con la Seguridad de la Información tiene mi aprobación y apoyo.

Google ha creado un vídeo con audio en ingles, pero subtitulado a Español, por si te queda alguna duda, que explica en que consiste usar la "Verificación de dos pasos":