¿Diría que es más seguro usar Yubikey Desktop Authenticator que Google Authenticator?
En lugar de usar Google Authenticator cada vez que quiero iniciar sesión en algún sitio, me pregunto si sería igualmente seguro usar la aplicación de autenticador de escritorio Yubikeys (o más).
Es difícil comparar los dos, pero yo diría que son aproximadamente similares cuando se trata de perfiles de riesgo.
Una aplicación que se ejecuta en su teléfono está generalmente más aislada de otras aplicaciones en comparación con las aplicaciones que utilizan entornos de escritorio estándar. Una aplicación de teléfono inteligente maliciosa que no tenga acceso de nivel raíz no podría acceder a los datos de otras aplicaciones ni ver lo que se muestra en la pantalla. Esto no es cierto en muchos entornos de escritorio donde hay mucho menos aislamiento entre los procesos que usan la pantalla del monitor (especialmente en Linux que usa X, lo cual es horrible en este sentido). Sin embargo, una vulnerabilidad suficientemente mala del teléfono inteligente daría a los atacantes acceso a la clave precompartida real utilizada para generar códigos únicos, por lo que las vulnerabilidades de seguridad en su teléfono son mucho peores a los efectos de proteger sus códigos de autenticación de múltiples factores. Si alguien roba la clave compartida previamente utilizada para generar códigos OTP, su cuenta está totalmente comprometida.
Por otro lado, la aplicación de escritorio Yubikey no expone su secreto precompartido real a la computadora de escritorio, ya que los códigos se generan directamente en el Yubikey. Entonces, incluso si un atacante obtiene acceso a su computadora, todo lo que podrían obtener es el código OTP actual: lo que es malo, pero no tanto como una vulnerabilidad de una escala similar en el teléfono inteligente.
Depende de usted sopesar las ventajas y desventajas, pero en mi opinión los riesgos son similares, por lo tanto, usar la aplicación Yubikey Desktop respaldada por hardware Yubikeys es una alternativa aceptable a Google Authenticator.
Lea otras preguntas en las etiquetas one-time-password multi-factor yubikey