El navegador impide ahora que los hackers eludan la autenticación de dos factores

Las prácticas de seguridad tradicionales son excelentes herramientas para proteger tu vida digital.

Si usas una contraseña única para cada una de tus cuentas y configuras la autenticación de dos factores (2FA) para las que la admiten, a los hackers les resultará muy difícil acceder a tus datos.

Sin embargo, ni siquiera la 2FA es infalible: los hackers aún cuentan con herramientas para sortear tus medidas de seguridad e infiltrarse en tus espacios en línea sin que tú tengas ninguna culpa.

Por suerte, Google está implementando una nueva medida de seguridad que debería reducir estas vulnerabilidades. Si utilizas la última versión de Chrome, quienes intenten acceder a tus cuentas se enfrentarán a una tarea mucho más difícil.

Cómo las cookies de sesión ponen en riesgo tus cuentas

Según informa Bleeping Computer, Google lanzó oficialmente esta semana las "Credenciales de sesión vinculadas al dispositivo" (DBSC) para Chrome. Para entender DBSC, sin embargo, es necesario comprender cómo funcionan las cookies de sesión.

Cuando inicias sesión en un sitio web a través de tu navegador, ese sitio te asigna un ID único. Este ID se almacena en tu dispositivo como un pequeño archivo: esta es la cookie de sesión. La idea es permitir que el sitio web realice un seguimiento de tu actividad mientras lo utilizas, incluso cuando navegas por sus diferentes páginas web.

Las cookies de sesión tienen diversos usos, como en carritos de compra y sitios web con varias páginas, pero para esta explicación, lo importante es saber que se utilizan para mantener la sesión iniciada.

El sitio web puede usar la cookie de sesión para "recordar" que has iniciado sesión, como si te dieran una pulsera al entrar a un evento con entrada. De esta forma, no tienes que volver a autenticarte cada vez que accedes al sitio: puedes introducir tu contraseña, e incluso un código de autenticación de dos factores (2FA), una sola vez, y volver al sitio web sin repetir el proceso (al menos hasta que caduque la cookie de sesión).

Aunque las cookies de sesión solo deberían residir en el dispositivo que las creó (y solo temporalmente), son un objetivo principal para los hackers. Si alguien logra robar tus cookies de sesión, puede suplantar tu identidad en su dispositivo, incluso si el sitio web en cuestión utiliza la autenticación de dos factores (2FA) para mayor seguridad.

Normalmente, estos sitios web solicitan tu nombre de usuario, contraseña y un código 2FA antes de permitir el inicio de sesión. Pero si un hacker roba tu cookie de sesión, puede engañar al sitio web haciéndole creer que es tú en el dispositivo donde ya te autenticaste. En otras palabras, ha robado tu pulsera y se la ha puesto. El portero no se dará cuenta del robo; solo verá que la tienes y asumirá que tu entrada ya ha sido revisada.

La nueva función de seguridad

DBSC funciona asegurando que las cookies de sesión se almacenen en un lugar de difícil acceso para los hackers. En adelante, todas las cookies de sesión generadas en Chrome (y en otros navegadores basados ​​en Chromium) se almacenarán en el Módulo de plataforma segura (TPM) de tu PC o en el Enclave seguro (Secure Enclave) de tu Mac.

Estos chips están diseñados para almacenar datos confidenciales y protegerlos mediante cifrado. Solo el chip de seguridad posee las claves para descifrar la información. Esto significa que, incluso si los hackers logran infectar tu Mac o PC con malware, les resultará extremadamente difícil acceder al chip de seguridad y robar tus cookies de sesión.

Google ha estado probando desde abril la versión beta de DBSC, tras anunciarla por primera vez en 2024. Ahora, está disponible para prácticamente todos los usuarios de Chrome, incluidos los de Workspace y Enterprise, así como para aquellos con cuentas personales. Si bien el anuncio original de Google solo indicaba explícitamente que la función estaba disponible en Chrome para Windows, su página de ayuda de DBSC señala que también está disponible para Mac.

Cómo asegurarse de que DBSC se está ejecutando en Chrome

Google afirma que DBSC está activado por defecto para todos los usuarios de Workspace Chrome y que los administradores no pueden desactivarlo. La compañía no especifica si esto también se aplica a las cuentas personales, aunque es probable que sí.

Sin embargo, parece que Google no está añadiendo DBSC retroactivamente a todas las versiones de Chrome. Según la página de ayuda de DBSC, la función está disponible en Chrome versión 146 o posterior en Windows, y en Chrome versión 148 o posterior en Mac. Para asegurarte de que DBSC está funcionando, te recomendamos instalar la última versión de Chrome, por precaución.

Para actualizar, haz clic en los tres puntos de la esquina superior derecha y luego selecciona Ayuda → Información de Google Chrome. Permite que Chrome busque la última actualización y, si hay alguna disponible, selecciona "Reiniciar" para instalarla.