Todo lo que necesitas saber sobre la autenticación de dos factores. Incluidos sus puntos débiles

AT&T introdujo la autenticación de dos factores en 1998. La empresa patentó un "método automatizado para avisar a los clientes de que una transacción se había iniciado y para autorizar dicha transacción en base a una confirmación/aprobación por parte de dichos clientes".

Si no te suenan estos términos, continúa leyendo este artículo donde cubrimos toda la información esencial, incluyendo sus flaquezas.

¿Qué significan 2FA y MFA?

La autenticación de dos factores (2FA) es un proceso de verificación que requiere de dos pasos para que puedas acceder a tu información sensible. La autenticación multifactor (MFA) es un proceso más complejo que emplea más de dos factores con el objetivo de verificar la autenticidad del inicio de sesión.

Hoy día, se recomienda el uso de 2FA para evitar accesos no autorizados a cuentas online. Hay incluso una página web dedicada que enumera todos los servicios que utilizan 2FA y proporciona información detallada sobre los métodos de autenticación disponibles.

¿Qué es un factor?

Un factor es un tipo de autenticación, y hemos listado los más comunes a continuación.

Algo que conoces

Es el factor de autenticación más común de uso diario. Requiere que introduzcas tus credenciales para acceder a tu cuenta, y el mejor ejemplo de este factor sería el nombre de usuario y contraseña.

Algo que tienes

Este factor requiere que introduzcas una cuenta de correo electrónico, teléfono o cualquier otro medio que pueda recibir un código de verificación. Algunas de las formas de autenticación más comunes son:

• Código por SMS. Es un código de uso único compuesto por seis dígitos que recibes en tu teléfono mediante un mensaje.

• Aplicaciones de autenticación. Su funcionamiento es similar al del código por SMS. La aplicación genera un código de uso único de seis dígitos, pero en vez de enviar un mensaje de texto, recibes este código en la aplicación. Puedes recurrir a una de las muchas aplicaciones de autenticación disponibles, como Google Authenticator, que se encuentran disponibles para descargar en tu teléfono.

• Token de hardware. Es un dispositivo, como YubiKey, que genera un código cifrado de un solo uso. Normalmente, adopta la forma de una cadena de seis números que se utiliza de la misma forma que los códigos recibidos a través de SMS o aplicaciones de autenticación. Cuentan con la ventaja añadida de que el token de hardware viene en un dispositivo distinto que puedes llevar a contigo.

Algo que eres

Emplea biometría, como huella dactilar, reconocimiento de voz o escáner de retina, para verificar el inicio de sesión. Es un factor muy difícil de replicar y sortear, pues recurre a identificadores biológicos. Debido a lo anterior, se trata de un factor de autenticación muy popular hoy día.

Algún sitio que posees

Este factor está relacionado con tu ubicación y se detecta en función de tu dirección IP. Algunas empresas almacenan tu información de geolocalización y marcan cada intento de inicio de sesión desde ubicaciones aleatorias. Por ejemplo, si vives en España, pero alguien ha intentado iniciar sesión en tu cuenta desde China. En este caso, el servicio te notificará sobre el intento de inicio de sesión y puede pedirte que verifiques una nueva ubicación. Este factor de autenticación ayuda a identificar accesos no autorizados en fases tempranas.

¿Por qué utilizar autenticación de dos factores?

El motivo principal del uso de 2FA o MFA es la capa de seguridad extra que se consigue. Esto no significa que al añadir 2FA a tu cuenta, reduzcas todos los riesgos de hackeo. Sin embargo, se convierte en un objetivo menos atractivo para los hackers.

El hacker tendría que deshabilitar tanto tu contraseña como tu 2FA. Tendría que utilizar un malware de ataque, de phishing, o intentar activar la recuperación de tu cuenta. Luego, necesitaría reiniciar tu contraseña, y solo entonces podría probar a deshabilitar tu 2FA. Supone demasiado esfuerzo para entrar en una mera cuenta individual.

¿Es 2FA tan seguro como parece?

A pesar de las mejores intenciones para proteger las cuentas online, los hackers son cada vez más creativos y buscan nuevas formas de saltarse la 2FA. Y todos los métodos son seguros hasta el primer intento con éxito. La autenticación basada en SMS es la primera cuya vulnerabilidad se conoce. Es por eso que en 2016, el Instituto Nacional de Normas y Tecnología (NIST), que ahora forma parte del Departamento de Comercio de EE. UU., prohibió los SMS para 2FA. El aumento de abusos como el phishing vía SMS (o smishing) y la copia de teléfono, que hacen que las víctimas pierdan el control sobre sus números de teléfono, son los principales culpables. Sin embargo, todavía es más seguro que no usarlo en absoluto. Y si no hay otras alternativas, es mejor habilitarlo.

¿Cómo puedes mejorar la seguridad de tu cuenta online?

• Las contraseñas son la primera línea de defensa de una cuenta online. Las contraseñas son la primera línea de defensa para la seguridad de una cuenta online. Así que haz todo lo posible para que sean fuertes. Comprueba la fuerza de tus contraseñas y asegúrate de que no han estado expuestas antes. Si es necesario, reemplázalas por contraseñas seguras que puedas generar con nuestro generador de contraseñas online.

• Asegúrate de guardar tus contraseñas de forma segura. Las notas y los archivos de Excel de tu ordenador no son los métodos más recomendables para salvaguardar tus contraseñas.

• Activa 2FA en todas las cuentas que lo permitan. Por norma general, debes dirigirte a ajustes de cuenta y buscar la opción 2FA en la pestaña de Seguridad.

• Y nunca bajes la guardia. Los hackers nunca descansan en su empeño por crear formas de pirateo cada vez más sofisticadas.