Google Titan Security Key, análisis: añadir una capa extra de seguridad a nuestras cuentas es tan sencillo como parece

Hace algunos días, Google trajo a España sus llaves de seguridad Titan. Son unas pequeñas llaves con USB, NFC y Bluetooth que, en pocas palabras, sirven para añadir una capa adicional de seguridad a la hora de acceder a nuestras cuentas. Son un sistema de autenticación en dos pasos, solo que en lugar de recibir un código en el móvil o en una app, consiste en introducir una llave en el puerto USB del ordenador o conectarla por Bluetooth.

En Xataka hemos tenido ocasión de acceder a estas llaves para probarlas por nosotros mismos, ver cómo se configuran tanto en PC como en móviles y cómo funcionan en la práctica. Esta ha sido nuestra experiencia.

Lo primero: que se incluye y cómo se configuran

A la izquierda la versión con USB A y NFC; a la derecha la versión con Bluetooth.

Actualmente, Google vende una sola versión de las llaves de seguridad Titan, a saber: un pack con una llave con USB A y NFC y una llave con Bluetooth, pensada para portátiles y smartphones. También se incluye un cable de carga microUSB (para la llave con Bluetooth) y un adaptador USB A a USB tipo C, que permite usar las llaves en ordenadores sin puertos USB A. Esto es importante, porque la llave de seguridad Titán con USB tipo C todavía no está a la venta.

El tamaño de estas llaves es reducido. La versión con USB A mide 43,9 x 20,8 x 3,1 mm y la versión con Bluetooth 47,3 x 29,3 x 8,3 mm. Ninguna de las dos pesa, son dispositivos bastante ligeros y se agradece, sobre todo si tienes pensado añadirlas al llavero. Los acabados son buenos y se notan resistentes, pero siendo francos, el diseño no es algo que importe demasiado en un producto de esta categoría. Lo único que no me ha gustado es que la llave Bluetooth se tenga que cargar mediante un microUSB, cuando el USB tipo C es el puerto que se está estandarizando.

Más allá de eso, lo que nos importa más es su compatibilidad. Las llaves de seguridad Titan funcionan en los navegadores que admitan la autenticación web del W3C, lo que incluye Chrome, Firefox, Opera y Edge. En los móviles Android es necesario tener Android 5.0 Lollipop y la versión más reciente de los Servicios de Google Play; en los iPhone y iPads, por su parte, hay que tener instalada la versión más reciente de Google Smart Lock y usar la conexión Bluetooth o bien el NFC.

En cuanto a los servicios compatibles, es imperativo que dichos servicios cumplan con los estándares FIDO. La lista es amplia e incluye los servicios de Google, Facebook, eBay, Dropbox, Amazon, Apple, PayPal o Twitter, entre muchos otros. La única forma de saber si el que queremos proteger es compatible es buscar sus opciones de autenticación en dos pasos y comprobar si admite llaves de seguridad.

En Xataka

Identificación en dos pasos: todos los métodos disponibles y sus ventajas e inconvenientes

El proceso de configuración es similar en todos los servicios, pero varía de uno a otro, así que es cuestión de seguir las instrucciones que ofrezca cada plataforma. Para el caso, nosotros vamos a mostrar cómo se configuran en la cuenta de Google y en Twitter. Porque no es tan sencillo como introducir la llave en el puerto USB y ya está, sino que hay que configurarla servicio a servicio. Es tedioso, pero una vez hecho no tendrás que volver a hacerlo.

Cómo configurar la llave de seguridad Titán

Para configurar la llave de seguridad Titan en Google, lo primero que hay que hacer es abrir el navegador, acceder al registro de la llave de seguridad e iniciar sesión con la cuenta de Google que queramos proteger. Elegimos "Siguiente" e insertamos la llave.

Cuando la detecte, pulsamos el botón dorado de la zona superior y esperamos un momento a que la plataforma reconozca la llave.

Google nos mostrará un pop-up para "Ver la marca y el modelo de tu llave de seguridad", así que pulsamos en "Permitir". Importante no tardar más de la cuenta, porque entonces el proceso se cancela.

Hecho esto, Google habrá reconocido la cuenta y nos pedirá que le pongamos un nombre a la llave. Para el caso, nosotros barremos para casa y la llamaremos "Xataka". Y listo, ya está la llave configurada y lista para ser usada.

Para replicar el proceso en Twitter, lo primero que hay que hacer es acceder a este enlace y activar uno de los dos sistemas de autenticación en dos pasos que hay disponibles y que no son las llaves, véase SMS o app de autenticación. Para el caso, usaremos la opción de SMS, pero puedes usar la que prefieras.

Cuando hayamos configurado la autenticación en dos pasos con los SMS (y hayamos apuntado el código que nos da al final del proceso, importantísimo), volvemos al enlace anterior (este) y pulsamos en "Llave de seguridad". Pulsamos en "Comenzar" e introducimos la llave de seguridad cuando nos aparezca lo que puedes ver bajo estas líneas:

Cuando la hayamos metido pulsamos el botón dorado para que nos reconozca y, acto seguido, lo hacemos otra vez para confirmar la llave como método de autenticación. Nos dirá que todo listo y ya podemos empezar a usar la llave de seguridad.

Cómo usar las llaves de seguridad en el móvil

Estas llaves están algo "capadas" en cuanto a móviles, ya que las aplicaciones son compatibles con ellas (Twitter, sin ir más lejos, no lo es). ¿Dónde funcionan? En las versiones web de las plataformas.

Por ejemplo, si abres la app de Twitter entrarás como normalmente, sin que te pida la llave de seguridad. Si cierras sesión en la app y vuelves a iniciarla, la llave no podrás usarla. Tendrás que recurrir al otro sistema que hayas configurado, que en nuestro caso era recibir un código por SMS.

Sin embargo, si accedes a twitter.com desde el navegador e inicias sesión, sí puedes acercar la llave de seguridad a la parte trasera del móvil (si este tiene NFC) o usar la llave Bluetooth, que servirá para cualquier móvil. Recordemos, siempre desde el navegador, no desde las apps que descargamos desde Google Play y App Store.

Si el móvil tiene NFC, bastará con acerca la llave a la parte trasera del dispositivo.

Si tu móvil tiene NFC no tienes que hacer nada, ya que la llave será reconocida nada más acercarla a la parte trasera. Si no tienes NFC, tendrás que usar la llave Bluetooth, en cuyo caso habrá que configurarla desde el principio. Es un proceso sencillo. Otra opción, si no quieres usar el Bluetooth y tu móvil no tiene NFC, es insertar la llave USB en el puerto de carga del móvil usando el adaptador USB A - USB C que hay en la caja.

Asumamos que queremos usar el Bluetooth. Cuando iniciemos sesión en un servicio en el que hemos configurado previamente una llave de seguridad, automáticamente nos aparecerá la ventana para proceder a configurar la llave Bluetooth. Seleccionamos "Utilizar llave de seguridad con Bluetooth", luego "Empezar" y dejamos pulsado el botón de la llave Bluetooth durante cinco segundos, hasta que empiece a parpadear el LED azul. Aparecerá el nombre de nuestra llave y pulsamos sobre él.

Cuando nos pida el PIN, pulsamos en "Continuar" y le damos la vuelta a la llave. Allí está el PIN de seis dígitos que tendremos que introducir en el pop-up. Hecho esto, se verificará la llave de seguridad y listo, podremos usarla para iniciar sesión en la versión web de la plataforma que hayamos configurado con solo pulsar el botón.

Por si hay alguna duda, la llave USB A / NFC funciona tanto en Android como en iOS (desde iOS 13.3), así que no es estrictamente necesario usar la llave Bluetooth. De hecho, si tu móvil tiene NFC, es un poco absurdo configurar la llave Bluetooth cuando la llave NFC funciona exactamente igual y es más rápida.

La experiencia con las llaves Titan de Google

La experiencia con las llaves Titan de Google ha sido muy positiva. Funcionan realmente bien y el proceso de configuración es de lo más sencillo. Es cierto que puede ser un poco tedioso porque hay que hacerlo de servicio en servicio, pero es algo que solo hay que hacer una sola vez y en cualquier navegador. Una vez configuradas las llaves, inicies sesión en el dispositivo que sea o usando el navegador que fuere, solamente hay que introducir la llave, pulsar el botón dorado y ¡voilá!, sesión iniciada.

En Xataka

He intentado cifrar todo lo cifrable en mi móvil y esto es lo que he conseguido

Esto es algo que me ha resultado realmente cómodo. El proceso de configuración lo hice en Chromey en mi sobremesa, pero mi navegador por defecto es Edge basado en Chromium y también trabajo con el portátil, así que tener un sistema de seguridad multiplataforma es algo que se agradece. Además, la inmensa mayoría de servicios que uso en el día a día, como los servicios de Google, Twitter, Facebook y Dropbox, son compatibles con estas llaves, por lo que no he tenido problemas de incompatibilidad. Me ha faltado Instagram, por poner un ejemplo.

Evidentemente, la mayor o menor compatibilidad dependerá de los servicios que use cada persona, pero en líneas generales, si quieres proteger tu cuenta de Google (persona o empresa), de Microsoft o cualquier servicio medianamente conocido, estas llaves funcionarán y añadirán esa capa extra de seguridad.

En cuanto a la experiencia con el móvil, la sensación es más bien agridulce. En mi caso uso un iPhone 11 Pro (que tiene NFC) y un Google Pixel 2 XL (que también tiene NFC), por lo que sin problema a la hora de iniciar sesión en las versiones web de los servicios. El problema es que las apps nativas, que son las que más uso, no son compatibles con las llaves de seguridad. No es culpa de las llaves en sí, sino de las propias aplicaciones, que todavía no aceptan este sistema de seguridad.

Precisamente por esto, donde más útiles me han resultado es en el ordenador. El mecanismo es tan sencillo como meter la llave en el USB, iniciar sesión y desenchufar las llaves (porque no, no hay que dejarlas introducidas, aunque puedes hacerlo si quieres).

Una vez inicias sesión, la llave puede extraerse sin problema y guardarse

Ahora bien, no creo que sean unos dispositivos pensados para el "usuario medio", sino para aquellas personas que busquen una capa extra de seguridad. Es decir, que si un "usuario medio" quiere usarlas porque le preocupa la seguridad, perfecto, pero se puede vivir sin ellas perfectamente. La autenticación en dos pasos se puede hacer con apps de autenticación como LastPass o Google Authenticator o con un SMS.

Estas llaves solucionan el problema en caso de que pierdas o te roben el móvil, ya que (salvo que pierdas o te roben las llaves también, que ya sería mala suerte) siempre podrás acceder a tus cuentas desde cualquier dispositivo.

Por otro lado, no puedo dejar de pensar en la durabilidad del modelo USB A / NFC. Si pones la llave en el llavero y lo metes en el bolsillo, cabe la posibilidad de que el puerto USB se arañe y se deteriore, y sí, es verdad que siempre quedará el NFC o usar el modelo Bluetooth, pero no habría estado de más agregar en la caja una pequeña funda, aunque fuese de silicona, para tapar el puerto cuando no se esté usando la llave. Es un detalle que no afecta a la experiencia de la llave en sí, pero que no quería dejar pasar por alto.

Sea como fuere, por 55 euros que valen las dos llaves consigues unos dispositivos disimulados, ligeros, que funcionan realmente bien y que son compatibles con la mayoría de servicios más populares. Eso sí, no son las únicas opciones del mercado, ni mucho menos. Las Yubikey con USB A y NFC valen 35 euros en Amazon, así que solo buscas conexión USB y NFC, pueden ser una alternativa a contemplar.