Las contraseñas se filtran. Se reutilizan en otro sitio que sufre un robo, se apuntan donde no deben, se adivinan. Si la contraseña de quien gestiona tus servidores basta para pararlos o borrar sus copias, el problema no es si pasará, sino cuándo. AWS lo sabe y recomienda MFA en la consola; lo que no cubre es a las personas de tu equipo que no tienen cuenta de AWS y a las que les has dado acceso de otra forma.
En Simplio el doble factor es un código de seis cifras que genera una aplicación en tu móvil (Google Authenticator, Microsoft Authenticator o cualquiera compatible). Se pide para entrar y, además, en cada acción delicada: detener o reiniciar una máquina, borrar ficheros, instantáneas o copias, subir código a una función Lambda, quitar un registro DNS, abrir una terminal, usar la llave de repuesto. Una contraseña robada, sola, no sirve para tocar nada.
Cómo funciona
Cada usuario lo activa desde su perfil
Escanea un código QR con la aplicación del móvil y confirma con el primer código. Desde ese momento, entrar pide el código.
Las acciones delicadas lo piden siempre
Detener, reiniciar, borrar, subir código, abrir terminal, rescatar una máquina. Aunque acabes de entrar. Aunque seas administrador.
Quien administra los usuarios ve quién lo tiene
En la lista de usuarios se ve quién tiene el doble factor activado y quién no, para insistir a quien falte.
Qué seguridad tiene
Sin excepciones para administradores
Las acciones delicadas piden el código a todo el mundo. Cuanto más puede hacer alguien, más importa.
Códigos de un solo uso
Cada código vale una vez y durante unos segundos. Uno visto por encima del hombro no sirve un minuto después.
Las activaciones y desactivaciones quedan registradas
En el registro de actividad, con quién y cuándo. Desactivar el doble factor de alguien no pasa desapercibido.
Lo mismo, en AWS y en Simplio
| Por tu cuenta en AWS | En Simplio | |
|---|---|---|
| Proteger a quien maneja las máquinas | MFA en IAM, usuario por usuario, si cada uno tiene usuario de IAM | Activarlo en el perfil, con un QR |
| Pedir código antes de parar una máquina | No existe: con sesión abierta, la consola para sin preguntar | Siempre, en cada acción delicada |
| Saber quién lo tiene activado | Informe de credenciales de IAM | Lista de usuarios |
Preguntas frecuentes
¿Qué aplicación necesito?
Cualquier aplicación de códigos TOTP: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden… Es el mismo mecanismo que usan los bancos y Google.
¿Y si pierdo el móvil?
Quien administra los usuarios puede quitar tu doble factor para que lo vuelvas a configurar en el móvil nuevo. Esa desactivación queda registrada en la actividad.