Autenticación de dos factores y apps sideloaded
La autenticación de dos factores (2FA) es una de las medidas de seguridad más efectivas que puedes usar, y se vuelve especialmente importante cuando haces sideloading de apps. Usar aplicaciones fuera de la App Store introduce algunas consideraciones de 2FA particulares, desde cómo interactúan algunas herramientas de sideloading con tu Apple ID hasta cómo funcionan las apps de autenticación cuando se instalan mediante sideloading. Esta guía cubre todo lo que necesitas saber.
Por qué la 2FA importa más al hacer sideloading
El sideloading amplía la superficie de ataque de tu iPhone. Si una app maliciosa robara tus credenciales de inicio de sesión de una cuenta importante, la 2FA actúa como un respaldo crítico: el atacante necesita no solo tu contraseña, sino también acceso a tu dispositivo de autenticación. Sin 2FA en tus cuentas importantes, una credencial comprometida es todo lo que necesita un atacante. Con 2FA, también necesita el código de un solo uso.
Por eso activar la 2FA en cada cuenta importante debería ser un requisito previo, no una idea de último momento, para cualquiera que haga sideloading de apps.
Tipos de 2FA y sus niveles de seguridad
2FA por mensaje de texto SMS
La forma más común, pero también la más débil. Los códigos SMS pueden interceptarse mediante ataques de SIM-swapping (donde los atacantes convencen a tu operadora de transferir tu número de teléfono a su propia tarjeta SIM). Aun así, es mejor que no tener 2FA, pero mejora de método si puedes.
Apps de autenticación TOTP
Las apps de contraseña de un solo uso basada en tiempo (TOTP), como Google Authenticator, Authy o 1Password, generan códigos localmente en tu dispositivo sin ninguna comunicación con un servidor. Estos códigos cambian cada 30 segundos y son mucho más difíciles de interceptar que los SMS. Esta es la opción base recomendada para la mayoría de cuentas.
Llaves de seguridad físicas
Dispositivos físicos (como YubiKey) que deben estar presentes físicamente para autenticarte. La forma más fuerte de 2FA disponible. Especialmente útil para correo electrónico, banca y cuentas de desarrollador. Algunas YubiKey son compatibles con NFC, lo que facilita su uso con el iPhone.
Passkeys
El sistema de passkeys de Apple integra una autenticación fuerte directamente en el dispositivo, reemplazando por completo las contraseñas en los servicios compatibles. Las passkeys son resistentes al phishing: se sincronizan a través de iCloud Keychain, y no hay ninguna contraseña que una app maliciosa pueda robar y reutilizar.
Cómo interactúan las herramientas de sideloading con tu Apple ID
Este es un punto fundamental que hay que entender. Algunos servicios de sideloading piden tu Apple ID y contraseña para firmar apps en tu nombre. Si usas uno de estos servicios:
- Te pedirán tu código de 2FA durante el proceso de inicio de sesión
- Una vez autenticado, el servicio puede quedarse con credenciales de larga duración que no requieren 2FA para cada acción posterior
- Estás confiando en que el servicio no haga un mal uso de tus credenciales
Scarlet iOS firma con un certificado compartido en lugar de usar tu Apple ID, así que no te pide la contraseña de tu Apple ID. La contrapartida es que Apple puede revocar ese certificado compartido en cualquier momento. Si un servicio de sideloading te pide tu Apple ID, pregúntate si el beneficio justifica darle a ese servicio acceso a tu cuenta. Para servicios de mayor riesgo, considera crear un Apple ID independiente que uses solo para sideloading.
Apps de autenticación instaladas mediante sideloading
Algunos usuarios deciden instalar mediante sideloading apps de autenticación que no están disponibles en la App Store, por ejemplo una app TOTP específica, una app complementaria de una llave de seguridad física, o una solución de autenticación autoalojada. Si haces esto, ten en cuenta lo siguiente:
Los códigos de respaldo son imprescindibles
Si instalas una app de autenticación mediante sideloading y deja de funcionar (por ejemplo, por la revocación del certificado), podrías quedarte sin acceso a las cuentas que usan esa app para el 2FA. Guarda siempre los códigos de respaldo al configurar el 2FA en cualquier servicio. Guarda estos códigos de respaldo en un lugar seguro y sin conexión.
Exporta tus semillas TOTP
La mayoría de las apps de autenticación te permiten exportar tus semillas TOTP: los secretos subyacentes que se usan para generar los códigos. Expórtalas periódicamente y guárdalas de forma segura. Si tu app deja de funcionar, podrás importarlas en otra app de autenticación.
Usa varios dispositivos o un método de respaldo
No dependas únicamente de una app de autenticación instalada mediante sideloading para tus cuentas más importantes. Mantén accesible un método de autenticación de respaldo (un dispositivo secundario, una llave de seguridad física o códigos de respaldo).
Cómo proteger específicamente tu Apple ID
Tu Apple ID es la llave maestra de tu dispositivo iOS. Debería tener la protección 2FA más sólida posible:
- Asegúrate de que la 2FA de Apple esté activada: Ajustes → [Tu nombre] → Inicio de sesión y seguridad → Autenticación de dos factores
- Revisa los dispositivos de confianza: los números de teléfono de confianza están en Inicio de sesión y seguridad, y los dispositivos de confianza aparecen al final de la pantalla de [Tu nombre]
- Elimina cualquier dispositivo o número de teléfono que no reconozcas
- Usa una contraseña fuerte y única que no uses en ningún otro sitio
Recomendaciones de 2FA cuenta por cuenta para quienes hacen sideloading
- Apple ID: la 2FA nativa de Apple (obligatoria)
- Cuenta de correo: llave física o app TOTP, porque el correo es la vía de recuperación de todas las demás cuentas
- Banca: lo que ofrezca tu banco, además de revisar periódicamente si hay accesos no autorizados
- Redes sociales: app TOTP como mínimo
- Gestor de contraseñas: app TOTP más un kit de emergencia guardado de forma segura fuera de línea
Qué hacer si los códigos de 2FA no funcionan
Los códigos TOTP dependen de que el reloj de tu iPhone esté correcto. Si los códigos no funcionan:
- Comprueba que la hora de tu iPhone esté configurada automáticamente: Ajustes → General → Fecha y hora → Ajustar automáticamente: ACTIVADO
- Si usas una app TOTP, busca una opción de «sincronizar hora» o «corregir hora» en sus ajustes
- Reinicia la app de autenticación
- Usa los códigos de respaldo como medida de emergencia si es necesario
Uniendo todo
La 2FA y el sideloading no están en conflicto: trabajan juntos para crear una experiencia segura. Activa una 2FA sólida en todas las cuentas importantes, ten cuidado con las herramientas de sideloading que piden tu Apple ID, y ten métodos de autenticación de respaldo listos por si una app de autenticación instalada mediante sideloading deja de funcionar.
Para prácticas de seguridad más completas, consulta nuestra guía sobre la seguridad del sideloading en iOS y cómo proteger tu privacidad al usar tiendas de apps de terceros.
El sideloading seguro empieza con una base segura: empieza con Scarlet iOS hoy mismo.