Facebook atiende a casi 2 mil millones de usuarios, más de mil millones de ellos a diario. Esos usuarios están repartidos por todo el mundo y cada uno de ellos tiene una cuenta. La mayoría de esas cuentas están simplemente protegidas por un contraseña, lo que significa que una persona malintencionada que conoce su dirección de correo electrónico solo necesita un dato más para robar su cuenta. Facebook tiene la difícil tarea de descubrir cómo prevenir eso sin molestar o confundir a todos esos usuarios, cuyas normas culturales y conocimientos informáticos varían ampliamente.
Una de las funciones de seguridad de Facebook es la autenticación de dos factores, que puede haber oído hablar de . 2FA (la abreviatura común) puede proteger su cuenta incluso en el caso de que alguien obtenga su contraseña. 2FA generalmente se implementa a través de mensajes SMS o una aplicación segura como Google Authenticator, aunque el estándar de oro es un segundo factor físico . Los detalles cambian de un servicio a otro, pero el proceso 2FA general funciona así: 1) Ingresa su nombre de usuario y contraseña. 2) El sitio web o la aplicación lo lleva a otra pantalla, donde se le solicita que ingrese un código único generado por su segundo factor. ¡Voilà, estás dentro!
¿Pero recuerdas los miles de millones de usuarios diversos de Facebook? No todos son lo suficientemente concienzudos como para leer la letra pequeña. Resulta que puedes habilitar 2FA sin saber realmente lo que estás haciendo y terminar bloqueado tu cuenta. Facebook quiere evitar eso casi tanto como quiere evitar que los piratas informáticos invadan la plataforma.
Por lo tanto, la compañía ofrece a los usuarios que habilitan 2FA un período de gracia de una semana para decidir si realmente lo desean. Es opcional, pero está seleccionado de forma predeterminada. Antes de que finalice el período de gracia, los usuarios pueden optar por iniciar sesión como de costumbre. Hacerlo apagará 2FA.
No todo el mundo piensa que es una gran idea.
cuanto mide tom izzo
Este es el tipo de política de seguridad irresponsable y con muerte cerebral que daña a las personas, @Facebook . Deja esta mierda. cc. @alexstamos pic.twitter.com/tVX7fczw37
- Nadim Kobeissi (@kaepora) 25 de mayo de 2017
Hasta cierto punto, esto frustra el propósito de establecer 2FA en primer lugar. Un atacante aún puede ingresar a su cuenta con solo usar su contraseña si logra atacar dentro del período de gracia.
zulay henao y joel rush
Algunos expertos de la comunidad de ciberseguridad encuentran frustrante la elección de diseño de Facebook. Nadim Kobeissi ?, quien creó la aplicación de mensajería cifrada Cryptocat, llámalo 'el tipo de política de seguridad irresponsable y con muerte cerebral que daña a las personas'. Añadió: 'Increíble. Pasé un día entero tratando de llegar al fondo de por qué el Facebook de un activista social * permaneció * inseguro incluso después de 2FA '. Resultó que el período de gracia fue el culpable.
Brad Hill, ingeniero de seguridad de Facebook intervino para decir que la función está 'ahí para proteger a las personas que no leen las instrucciones cuando hacen cosas importantes', señalando que los usuarios tienen la opción de elegir si quieren el período de gracia:
Está ahí para proteger a las personas que no leen las instrucciones cuando hacen cosas importantes. pic.twitter.com/WHxoXSa4As
- hillbrad (@hillbrad) 25 de mayo de 2017
Kobeissi disparó de vuelta , 'Esto puede sorprenderlo, pero cuando se trata de algunas personas de la región MENA, las implicaciones de esa letra pequeña no son parte de su modelo'. A que colina respondió , 'En realidad, no me sorprende en absoluto que haya diferentes modelos mentales de cómo funciona 2FA en una población de casi 2 mil millones de personas. Literalmente paso horas todos los días pensando en eso. Y miro los datos '. (Kobeissi elaboró aún más su pensamiento aquí .)
Wesley Snipes es gay?
Alex Stamos, director de seguridad de Facebook elaborado en una tormenta de tweet : 'Al igual que con los cinturones de seguridad, el modo de falla # 1 es que 2FA no se está utilizando. Dudo que algún gran proveedor tenga una penetración mejor que la de un solo dígito. Entonces, ¿culpamos a las personas que no optan por utilizar la funcionalidad dirigida a los puristas de la seguridad o diseñamos un sistema que funcione para todos? Al igual que con [el cifrado de extremo a extremo], 2FA es una tecnología de filtración, exigida e implementada por expertos a quienes les encanta discutir sobre casos de esquina y modos de falla '.
Continuó señalando: 'Recuerde que el adversario también obtiene un voto. Permitir que las cuentas se bloqueen permanentemente al instante también será objeto de abusos en las adquisiciones de cuentas '. En otras palabras, los piratas informáticos que toman el control de una cuenta habilitarán 2FA para impedir que los usuarios legítimos recuperen sus cuentas. (Por supuesto, sería extraño que un pirata informático optara por el período de gracia).
Personas que confían en administradores de contraseñas generar y almacenar contraseñas largas y únicas está limitando efectivamente su riesgo. Las personas que usan las mismas credenciales una y otra vez para varios servicios diferentes, por otro lado, son mucho más fáciles de apuntar, porque las bases de datos de cuentas y contraseñas a menudo se infringen y lanzado en las redes oscuras.
Facebook se da cuenta de esto, por lo que la empresa intenta ayudar a los usuarios a protegerse. Obviamente, quiere minimizar la cantidad de cuentas que son pirateadas.
Es mucho más difícil para una persona malintencionada secuestrar una cuenta protegida por 2FA (aunque la ingeniería social inteligente, que generalmente implica contactar a los representantes de soporte de la empresa y engañarlos, a veces puede funcionar, y Los SMS no son perfectamente seguros ). La mayoría de los piratas informáticos quieren 'pwn' (hacker, hablando por sí mismos) muchas cuentas rápidamente y no están dispuestos a dedicar tiempo y esfuerzo extra a un solo usuario.
En otras palabras, mantener seguras las cuentas de Facebook es tanto una cuestión de comprender el comportamiento humano como de construir herramientas tecnológicas. Como dijo el ingeniero Brad Hill, cuando se trata de miles de millones de usuarios, debe adaptarse a diferentes niveles de experiencia y diferentes concepciones de cómo debería funcionar la seguridad. Cualquier opción de 'talla única' seguramente decepcionará a algunas personas.
