2FA y MFA explicadas: cómo funciona la autenticación multifactor
En el mundo digital, un usuario tiene que autenticarse con frecuencia para acceder a servicios o datos. Por lo general, la autenticación se produce después de que el usuario introduzca su nombre de usuario y su contraseña. Antes esto bastaba, pero con el aumento de la ciberdelincuencia la protección de accesos exige cada vez más acciones por parte del usuario.
¿Qué factores debe incluir un mecanismo de autenticación para ser eficaz?
- Conocimiento (algo que solo el usuario sabe),
- Posesión (algo que solo el usuario tiene),
- Inherencia (algo que solo el usuario es).
El factor conocimiento es el primero y más importante del proceso de autenticación. Puede ser una contraseña o un PIN. Mientras que el nombre de usuario no tiene por qué ser una información secreta (como los nombres de usuario en redes sociales o los correos electrónicos reutilizados como usuario), la contraseña o el PIN deben ser un conocimiento que solo posea un usuario concreto. Por eso, el par «usuario + contraseña» solo puede considerarse, en el fondo, una autenticación de un factor.
La posesión implica un objeto físico o una información de la que el usuario debe disponer para superar la autenticación. El ejemplo más conocido es la llave de una cerradura. En el mundo digital, sin embargo, la posesión también puede demostrarse con un token de seguridad (independiente o conectado al dispositivo del usuario) o con un token de software (guardado en una app de autenticación); otro ejemplo es el SMS.
El factor inherencia lo representan las características biométricas del usuario, como la huella dactilar o de la palma, el rostro, el iris o la retina y la voz.
Los sistemas de autenticación también pueden tener en cuenta otros factores adicionales, por ejemplo la ubicación y el comportamiento (dinámica de tecleo, movimientos del ratón o características táctiles, análisis de la firma, etc.).
Es evidente que el uso de dos o más factores de autenticación aumenta notablemente la seguridad. Sin embargo, algunos factores son menos resistentes a los ataques que otros.
La mayor amenaza para la 2FA/MFA es el phishing. Se puede atraer al usuario a un sitio web falso y pedirle que introduzca sus credenciales y un segundo factor. También son posibles ataques combinados: primero se infecta el dispositivo del usuario con un malware que roba sus credenciales y después el atacante recurre al phishing o a otras técnicas de ingeniería social para eludir la 2FA/MFA. La única manera de reducir este riesgo es estar informado y alerta.
Como ya hemos dicho, la MFA no es una panacea, pero refuerza considerablemente la protección de las cuentas y reduce la probabilidad de sufrir un hackeo. Entonces, ¿qué segundo factor ofrece la mejor protección posible?
Los expertos en ciberseguridad de nuestra empresa recomiendan los dispositivos U2F (USB o NFC) como el segundo factor más fiable. Sin embargo, a muchos usuarios este método les parece demasiado engorroso y menos cómodo.
En segundo lugar se sitúan, por tanto, las apps de autenticación. Generan contraseñas de un solo uso basadas en el tiempo (TOTP), normalmente códigos de 6 dígitos válidos durante 30 segundos. Algunas apps ofrecen métodos adicionales como notificaciones push (que también usan datos de geolocalización), datos biométricos, etc. En los servicios web, la autenticación mediante notificaciones push o biometría es más ventajosa y sencilla que las contraseñas de un solo uso, pero está menos extendida, mientras que en las aplicaciones móviles la autenticación biométrica es muy habitual.
Siguen siendo habituales, aunque menos fiables, los códigos de un solo uso por SMS o correo electrónico. Si puedes evitarlos, utiliza uno de los métodos anteriores.
Todavía existen tokens de hardware independientes (dongles o llaves de hardware) que generan contraseñas de un solo uso, aunque en cuanto a comodidad resultan menos atractivos que las apps de autenticación.
En resumen, la autenticación con un simple par de usuario y contraseña va quedando atrás. Para seguir el ritmo de la evolución tecnológica y no poner en peligro sus datos, los usuarios deben recurrir a la 2FA/MFA y ser conscientes de las ciberamenazas actuales.
Enlaces útiles:
PassSecurium™ gestor de contraseñas (Android, iOS)
AccessSecurium™ – app de autenticación para TOTP (Android, iOS)
Otras fuentes utilizadas en el artículo:
Este sitio web utiliza cookies, las cuales tienen dos funciones: por un lado, están proporcionando una funcionalidad básica para este sitio web. Por otro lado, nos permiten mejorar nuestro contenido guardando y analizando datos anónimos de usuario. Usted puede cambiar su consentimiento a utilizar estas cookies en cualquier momento. Encontrar más información sobre cookies en nuestro Declaración de Protección de Datos y sobre nosotros en el Aviso Legal.