Cuando hablamos de seguridad en el ecosistema Android, no podemos dejar nada al azar. Para blindar la autenticación de una aplicación, lo ideal es alejarse del viejo modelo de contraseñas, especialmente si manejamos datos delicados como cuentas bancarias o correos electrónicos, ya que existen apps maliciosas que podrían intentar suplantar la identidad del usuario sin que este se dé cuenta.
Tampoco podemos dar por hecho que el móvil siempre estará en manos del dueño. El robo de dispositivos es el pan de cada día y los atacantes suelen buscar teléfonos ya desbloqueados para sacar provecho rápido de la información financiera. Por eso, es fundamental establecer un tiempo de espera razonable para la sesión (unos 15 minutos) y exigir que el usuario se identifique de nuevo mediante biometría antes de cualquier movimiento crítico.
Autenticación Biométrica y sus Matices
La librería de Biometrics nos permite lanzar ventanas de solicitud para reconocimiento facial o huellas dactilares de forma sencilla. Sin embargo, hay que tener ojo con la configuración: si permitimos que el sistema recurra al LSKF, nos exponemos a riesgos de visualización no autorizada. En apps de alta sensibilidad, lo más sensato es no permitir que el PIN sea la alternativa al biométrico; si el usuario falla los intentos, debería esperar o usar un proceso de restablecimiento basado en factores externos al dispositivo.
Este método es especialmente útil para frenar los fraudes en transacciones. Si el usuario quiere mover dinero, el diálogo biométrico asegura que es el propietario real quien opera y no un tercero que ha robado el móvil. Para subir el nivel de seguridad, se recomienda exigir biometría de clase 3 y apoyarse en el uso de CryptoObject para operaciones financieras y la implementación práctica de AES y RSA.
Pasos para la Implementación
- Primero, hay que integrar la librería androidx.biometric en el proyecto.
- Después, se debe insertar el diálogo de acceso en la actividad o fragmento donde resida la lógica que requiere validación.
Sabemos que meter más pasos en el flujo de usuario puede dar un poco de rabia en términos de UX, pero cuando hay dinero de por medio, la seguridad prima sobre la fluidez. Por ello, recomendamos que el diálogo biométrico se active mediante una acción explícita del usuario en cada transacción.
El salto a las Llaves de Acceso (Passkeys)
Las llaves de acceso son la alternativa moderna y mucho más segura que las claves tradicionales. Funcionan mediante criptografía de clave pública, aprovechando el desbloqueo de pantalla del dispositivo. Esto hace que el usuario no tenga que romperse la cabeza recordando contraseñas y ofrece una protección brutal contra el phishing.
Estas llaves unifican en un solo paso la contraseña y los códigos OTP, eliminando la fricción de los SMS. En Android, esto se gestiona a través de la biblioteca Jetpack Credential Manager, que centraliza el acceso federado (como Google), las claves y las contraseñas. La clave privada se queda en el dispositivo o se sincroniza mediante el Administrador de contraseñas de Google, mientras que el servidor solo guarda la clave pública correspondiente.
Si te roban el móvil, estas llaves son una bendición porque no se pueden trasladar a otros dispositivos. Además, desde otro equipo puedes cerrar la sesión remota del teléfono robado, dejando el Administrador de contraseñas inutilizable. Para implementarlas, se requiere Android 9 o superior y es vital seguir el codelab de Credential Manager y los lineamientos de diseño de UX para que el flujo sea natural.
Restablecimiento de Cuentas y Verificación SMS
Un atacante con un móvil desbloqueado intentará restablecer la cuenta para tomar el control total. Por eso, es un error garrafal basar el restablecimiento solo en OTPs que llegan por SMS o email al mismo dispositivo. Es necesario implementar factores de conocimiento, como preguntas de seguridad, reconocimiento facial adicional o la solicitud de un documento de identidad oficial.
Para facilitar el proceso de verificación, existe la API de SMS Retriever. Esta herramienta permite que la app recupere el código de verificación automáticamente sin pedir permisos peligrosos como READ_SMS. No obstante, no debe ser el único método de seguridad debido a ataques como la clonación de SIM.
Flujo de Implementación de SMS Retriever
En la parte de Android, se obtiene el teléfono, se inicia el cliente Retriever y se envía la OTP al servidor. En el lado del servidor, se construye el mensaje, se envía y se valida la respuesta. Si el código llega automáticamente, es buena señal; pero si el usuario tiene que escribirlo a mano, podría ser un indicador de posible fraude.
Gestión de Identidades en el Entorno Corporativo
A nivel empresarial, la información debe clasificarse según su sensibilidad. Los gestores de identidad deben asignar permisos basados en la segmentación de los usuarios. Existen permisos individuales para organizaciones muy pequeñas y permisos por grupos para estructuras más grandes.
En el mundo Windows, la herramienta reina es Active Directory, que permite centralizar la base de datos de usuarios, roles y políticas de seguridad. Para quienes usan macOS, la opción nativa es OpenDirectory, ideal para gestionar propietarios de información y permisos de ejecución o lectura. Es vital revisar estos accesos periódicamente y tener un proceso rápido para revocar permisos en remoto cuando un empleado deja la empresa.
Para mantener un sistema robusto, es esencial combinar la biometría avanzada, la gestión centralizada de identidades corporativas y el uso de Passkeys, asegurando que cada paso de acceso esté validado por factores que no dependan únicamente del dispositivo físico, mitigando así el impacto de robos o suplantaciones.
