Después de haber leido el artículo de Enfeeble me he preocupado bastante porque hace un par de semanas que me conseguí uno. Pensé "Estupendo, encima de lo aburrido que es usar el trasto este, ahora va y tiene fallos de seguridad..."

El caso es que he grabado al cacharrín generando los códigos para comprobar lo que tarda en generar un nuevo código después de haber presentado otro y esto es lo que he obtenido:

Como podéis ver, en unos 15-20 segundos se desecha el código ya presentado y se genera uno nuevo, por lo que, a primera vista, la vulnerabilidad no parece ser tan crítica (están hablando por ahí de entre 1 y 5 minutos). Sin embargo, si se pulsa el botón nada más desaparecer el código vuelve a salir el mismo, por lo que "vive" unos 10 segundos más. No lo he probado, pero supongo que esto se podrá hacer "ad infinitum". En cualquier caso, todo esto no implica que el número generado no siga siendo válido a pesar de haber desaparecido de la pantallita.

De todos modos, se habla de que la vulnerabilidad radica en la posibilidad de que el usuario introduzca mal la password y bien el código. Este evento no puede ocurrir, ya que el código se pide después de introducir correctamente la password. Es decir, si metes mal la password no te llega a pedir el código en nigún caso y si metes bien la password y metes un código, se usa en ese momento y se invalida para posteriores intentos de login.

No se pueden sacar muchas conclusiones del caso de hackeo del que hablan en WoW Insider. Dan muy poca información y poco contrastada. Solo puede ocurrir algo así si el hacker tiene acceso físico al Autenticador, al PC de la víctima o a la red de la víctima. Si tienes acceso al Autenticador es pan comido, si tienes acceso al PC puedes intentar robarle la sesión web y si tienes acceso a la red puedes usar la técnica de man-in-the-middle para capturar la sesión directamente o recibir la información necesaria como para robársela igualmente. Un sistema de seguridad es tan sólido como el más débil de sus eslabones, y no olvidéis que el factor humano en estos casos suele ser devastador.

Conclusión: Tranquilidad. Si estáis pensando en compraros un cacharrín, las únicas pegas que yo le encuentro son:

• Coñazo. Es un rollo andar buscando el cacharro para entrar al juego o a la web de gestión de cuentas y no lo encuentro muy cómodo. Llamadme tiquis-miquis, pero yo habría puesto el enganche para el llavero al otro lado...
• Si se le gastan las pilas no se pueden cambiar sin abrirlo en canal. Osea, que cuando se le gasten las pilas no podré entrar a la web para desvincularlo de mi cuenta porque lo necesito para entrar. Osea, que tendré que contactar con customer care para ver que hago... Ya os contaré cuando me suceda esto :)