Así que habilité la autenticación de 2 factores en Gmail, lo que significa que si inicio sesión en una nueva máquina, envía un token a mi teléfono.
Ahora, si accedo a Gmail desde mi teléfono, parece que solo me queda un factor; mi teléfono.
¿Cuál sería la forma más segura de acceder a Gmail desde mi teléfono?
Estoy pensando que una contraseña específica de la aplicación es el camino a seguir, ya que si el teléfono es robado, puedo revocar la contraseña y el atacante solo tiene el token.
Has tocado un poco de dolor; El uso de dispositivos inteligentes como credenciales de tipo algo-tienes-tiene tiene algunos inconvenientes.
Como señala, el dispositivo inteligente a menudo desempeña un papel activo en el proceso de autenticación además de ser la credencial del segundo factor. Esto no es tanto un problema como podría parecer a primera vista. El propósito de usar tu dispositivo inteligente como algo-que-tienes es que el atacante debe robar el dispositivo y simultáneamente tener acceso a tu contraseña para poder acceder a tu cuenta. Esto sigue siendo cierto, incluso cuando el dispositivo está haciendo ambas partes de la autenticación, pero tiene derecho a cuestionarlo, especialmente si almacena la contraseña en el dispositivo. En este caso, su autenticación de factor dual se convierte en un factor único: el dispositivo.
La otra razón por la que los dispositivos inteligentes hacen que las credenciales sean deficientes es que tienen una pila de software y, por lo general, ejecutan aplicaciones de terceros. En otras palabras, tienen malware. Un dispositivo inteligente infectado con malware es equivalente a un dispositivo inteligente robado en términos de uso como credencial.
El malware puede instigar el inicio de sesión, esperar y capturar los SMS / notificaciones entrantes, y leer el código del segundo factor para completar el inicio de sesión. En los casos más extremos, esto ocurrirá sin el conocimiento del usuario.
En resumen, no se preocupe demasiado: el hecho de conocer este problema es excelente, solo asegúrese de que el teléfono no almacene la contraseña ni proporcione el inicio de sesión automático. Bloquear la aplicación no es suficiente. el atacante aún puede leer directamente la contraseña almacenada en el disco duro del teléfono.
Y cuando se requiere seguridad real, use tokens de hardware que no puedan ser subvertidos, como los tokens TOTP / HOTP. Dicho esto, usar el dispositivo inteligente es mucho mejor que no tener ningún segundo factor.
Siempre que use una contraseña específica de la aplicación para las aplicaciones de su teléfono que hablan con los servidores de gmail y tenga cuidado al instalarlas, está bien.
Si le roban el teléfono, todo lo que tiene que hacer es revocar la contraseña específica de la aplicación y hacer que GMail cierre todas las demás sesiones iniciadas.
Vea, mientras que el factor segundo (teléfono) está comprometido, el factor primero (contraseña) no lo está. El atacante necesita ambos. Para esto, el atacante necesitaría primero obtener su contraseña de GMail a través de un keylogger o un ataque MITM con un certificado falso, y luego obtener su teléfono. Mucho más difícil, aunque una persona determinada probablemente pueda obtenerlo. Prometiendo su cuenta.
Tenga en cuenta que una aplicación malintencionada podría recibir tanto su contraseña de GMail como interceptar mensajes de autenticación,
Una opción para mitigar la pérdida del teléfono es tener un bloqueador de aplicaciones que necesite una contraseña / PIN para acceder a aplicaciones específicas. Esto le permite tener una forma sencilla de desbloquear el teléfono en sí mismo, y requiere otro paso para desbloquear la aplicación (por lo tanto, si alguien toma prestado su teléfono por un tiempo, solo puede acceder a las funciones desbloqueadas). Si el teléfono es robado, esto debería demorar a un atacante el tiempo suficiente para que deshabilites la autenticación de 2 factores y cambies tu contraseña.
Eso no lo protegerá de malware o de un atacante experto, como explicó @lynks, pero le permitirá estar relativamente seguro sin el inconveniente de tener que ingresar la contraseña de su cuenta todo el tiempo. Y dado que la seguridad y la comodidad son siempre una compensación, no podría alcanzar un alto nivel de protección sin sacrificar la facilidad de uso de todos modos. Eso es como la opción "recordar esta computadora": en ese caso, la computadora en sí (o, más específicamente, la cookie del navegador) se convierte en el segundo factor, por lo que solo necesita ingresar un código en computadoras que no sean de confianza.
Nota adicional: si revisa su correo electrónico en su teléfono docenas de veces al día, tener el inicio de sesión automático desactivado significa que tendrá que escribir una contraseña compleja / larga en el pequeño teclado todo el tiempo, o Terminaré usando una contraseña débil. Si solo lo haces ocasionalmente, entonces no es un problema. Ten esto en cuenta, ya que es parte de la compensación que mencioné anteriormente.
Lea otras preguntas en las etiquetas authentication google attack-prevention