En nuestro artículo anterior te presentamos la gestión avanzada de contraseñas, con información y consejos útiles sobre el tema.

Esta vez hablamos de la autenticación de dos factores y multifactor, que quitan a los hackers toda esperanza de robar tus cuentas y los datos que contienen.

¿Qué son la 2FA y la MFA, y en qué se diferencian?

La autenticación multifactor (MFA) consiste en completar varios pasos de verificación para confirmar tu intento de inicio de sesión.

La autenticación multifactor se basa en tres pruebas (factores):

• algo que sabes (p. ej., contraseña, PIN);
• algo que tienes (p. ej., tu teléfono o una llave de seguridad);
• algo que eres (p. ej., tus datos biométricos).

La autenticación de dos factores (2FA), en cambio, combina solo dos de estos factores.

Las formas más habituales de 2FA son los SMS, los códigos de un solo uso generados por aplicaciones móviles específicas, la autenticación mediante notificaciones push y las llaves físicas de autenticación.

SMS

El método más antiguo de los que describimos es el SMS, que también es el menos fiable debido a las vulnerabilidades del protocolo de telefonía SS7, desarrollado ya en los años 70 y todavía utilizado en las redes móviles. Los hackers pueden interceptar tus mensajes y, mediante ingeniería social, incluso transferir tu número a su propia tarjeta SIM.¹

Si puedes elegir el método 2FA, te recomendamos optar por una de las siguientes opciones.

Contraseñas de un solo uso basadas en el tiempo (TOTP)

El TOTP es compatible con la mayoría de sitios y servicios. El algoritmo es universal, así que todos tus tokens TOTP de distintos servicios pueden guardarse en una sola aplicación. Prueba, por ejemplo, nuestra app gratuita AccessSecurium™ para Android y para iOS.

Es una ventaja de seguridad adicional que la aplicación oculte los códigos y solo los muestre al tocarlos. Además, conviene activar una capa extra de protección para abrir la app: PIN, huella dactilar o Face ID.

La mayoría de las aplicaciones de autenticación guardan los datos solo en local en tu teléfono. Por eso, si pierdes el teléfono o eliminas la aplicación, corres el riesgo de perder todos tus tokens. Y si no tienes un método 2FA alternativo para los sitios y servicios web, recuperar el acceso puede resultar complicado. Si la aplicación tiene función de copia de seguridad, te recomendamos crear una copia de tu base de datos de tokens y guardarla en una memoria USB dentro de una caja fuerte.

Algunas aplicaciones almacenan los tokens en la nube, lo que debería evitar su pérdida y facilitar el traspaso a nuevos dispositivos.

(Los servicios de nuestra plataforma corporativa segura de comunicación y colaboración SWISS SECURIUM® están protegidos con TOTP.)

Notificaciones push

Google introdujo en 2016 la verificación mediante notificaciones push, que más tarde adoptaron también Apple y Microsoft.

Con las notificaciones push, los usuarios pueden confirmar cómodamente su inicio de sesión desde un dispositivo de confianza, aunque se tarda más o menos lo mismo que al introducir una contraseña de un solo uso. La gran ventaja es que basta con desbloquear el teléfono (que ya es uno de los factores de autenticación) y aceptar o rechazar el intento de acceso en la notificación.

Si la notificación muestra, por ejemplo, la ubicación o el dispositivo desde el que se intenta acceder, puede ayudarte a detectar un ataque de phishing. Si no reconoces la ubicación ni el dispositivo y estás seguro de que no se trata de un compañero o conocido, basta con tocar «No» para bloquear el acceso no autorizado a tu cuenta corporativa o personal.

Sin embargo, no es una protección total contra el phishing, ya que podrías tocar «Sí» de forma automática sin fijarte en la ubicación o el dispositivo desconocido de la notificación. Otro inconveniente es que cada proveedor ofrece su propio servicio de verificación push, y no para todos sus productos: esta solución aún no está estandarizada.

Llaves de seguridad

El estándar más extendido para las llaves de seguridad (también llamadas tokens de hardware) es U2F: Universal 2nd Factor. Normalmente estas llaves se conectan por USB, por lo que resultan prácticas para usuarios de PC y portátiles. Pero el proyecto U2F sigue evolucionando y hoy ya es posible usar llaves con dispositivos Android e iOS.

La llave de seguridad es fácil de usar: la conectas al dispositivo desde el que inicias sesión y pulsas el botón de la llave (también hay modelos con introducción de PIN o lector de huellas). A continuación, la llave memoriza el sitio web y genera un par de claves criptográficas específicas para ese sitio y esa cuenta.

Como la llave «recuerda» el sitio en el que inicias sesión, ofrece una protección contra el phishing más fiable que cualquier otro método.

(El acceso mediante llaves de seguridad está disponible bajo demanda en nuestra plataforma SWISS SECURIUM®.)

Códigos de respaldo

Al activar la 2FA en un sitio web, normalmente se te pide que guardes códigos de un solo uso adicionales para imprimirlos. No los rechaces: imprímelos y guárdalos en un lugar seguro. Si pierdes la llave de seguridad, eliminas la aplicación de autenticación o pierdes el teléfono, estos códigos te permitirán volver a acceder a tu cuenta. También puedes llevarte uno de viaje para iniciar sesión una vez de forma segura.

Aquí tienes una lista de servicios y sitios web que utilizan distintos tipos de 2FA.

Allí encontrarás enlaces a las instrucciones para activar la 2FA: en pocos pasos aumentarás notablemente la seguridad de tus cuentas y reducirás el riesgo de accesos no autorizados.

¿Qué funciones de seguridad adicionales ofrecen los proveedores para proteger sus servicios?

VPN

Acceder a los servicios a través de una red privada virtual reduce considerablemente el riesgo de accesos no autorizados. De hecho, solo los usuarios de confianza para los que se ha configurado el acceso pueden conectarse y utilizar los servicios alojados en una red virtual.

(Los servicios de nuestra plataforma SWISS SECURIUM® también pueden configurarse para que solo se acceda a ellos mediante VPN.)

Cifrado de datos

Cifrar los datos durante su almacenamiento y transmitirlos por canales seguros es imprescindible para cualquiera que se preocupe por su ciberseguridad. La mejor opción es el cifrado de extremo a extremo, en el que solo el remitente y el destinatario, y nadie más, pueden ver la información transmitida.

No obstante, el cifrado de extremo a extremo no verifica la identidad de tu interlocutor. Algunas aplicaciones (por ejemplo, nuestro mensajero SwissSecurium™) incluyen funciones para ello: la comparación de huellas digitales del dispositivo (una secuencia de caracteres única de tu dispositivo que se verifica en un encuentro en persona) y el uso de una pregunta secreta acordada de forma confidencial con tu interlocutor.

Zero Knowledge

Este concepto de almacenamiento significa que nadie salvo tú tiene las claves de tus datos, ni siquiera el proveedor del servicio donde guardas tus archivos. Aunque las autoridades exigieran al proveedor la entrega de tus datos (o se produjera una filtración por un ataque informático), no se revelaría ninguna información, porque todo está cifrado y solo tú tienes las claves. Pero esto también implica una gran responsabilidad: si pierdes las claves, nadie podrá volver a acceder a tus datos.

En conclusión, la seguridad y la protección de tus datos son una tarea amplia y compleja que no debe descuidarse.

Con ALPEIN Software cuentas con un socio fiable y experimentado en el ámbito de la ciberseguridad.