La autenticación de dos factores (2FA) es una medida de seguridad que requiere que proporcione un factor de identificación adicional (como un código enviado a su teléfono) además de su nombre de usuario y contraseña habituales.
Su banco, proveedor de correo electrónico y tal vez incluso su plataforma de juegos favorita le han pedido que configure la autenticación de dos factores. Si no tiene claro qué es o por qué querría comenzar a usarlo, siga leyendo para saber cómo la autenticación de dos factores puede mantener más seguro todo, desde su cuenta bancaria hasta su colección de juegos.
¿Qué es la autenticación de dos factores?
Para comprender qué es la autenticación de dos factores (2FA), primero veamos qué es la autenticación de un factor y comparémosla con los modelos de seguridad del mundo real y virtual.
Cuando llega a casa del trabajo, saca las llaves y abre la puerta, está utilizando la autenticación simple de un factor. A la puerta y al conjunto de la cerradura no les importa si la persona que tiene la llave es usted, su vecino o un delincuente que se las robó.
Lo único que le importa a la cerradura es que la llave quepa: no necesita dos llaves, una llave y una huella digital, ni ninguna otra combinación de controles. La clave física única es la única autorización, y su portador, ya sea legítimo o no, obtiene acceso completo.
El mismo nivel de autenticación de un factor ocurre cuando inicia sesión en un sitio web o servicio que solo requiere su nombre de usuario y contraseña. Usted, su cónyuge o cualquier otra persona puede ingresar el nombre de usuario y la contraseña para acceder a su cuenta de la misma manera que cualquiera podría recoger la llave de su casa y abrir su puerta.
Estás en buena forma si nadie te roba las claves o la contraseña. Si bien el robo de sus llaves es un riesgo bastante bajo, la seguridad virtual es más compleja. Las infracciones de seguridad, los ataques sofisticados y otros aspectos desafortunados pero demasiado reales de trabajar y jugar en un espacio virtual requieren prácticas de seguridad mejoradas, incluidas contraseñas complejas múltiples y diversas y, cuando esté disponible, autenticación de dos factores.
¿Qué es la autenticación de dos factores y cómo se ve para usted, el usuario final? La autenticación de dos factores es un subconjunto de la autenticación de múltiples factores (MFA). Toda autenticación de dos factores es autenticación de múltiples factores, pero no toda autenticación de múltiples factores es de dos factores (ya que un sistema MFA podría requerir 3, 4 o más factores de autenticación adicionales). Coloquialmente, la gente todavía usa el término 2FA para referirse a los sistemas de múltiples factores en general, y como sigue siendo la implementación más común de la autenticación de múltiples factores, usaremos el término a lo largo de este artículo.
Como mínimo, la autenticación de dos factores requiere dos de las tres variables de autenticación, como:
- Algo que sepa (como el PIN de su tarjeta bancaria o la contraseña de su correo electrónico).
- Algo que tenga (la tarjeta bancaria física o un token de autenticación).
- Algo que eres (biometría como tu huella dactilar o patrón de iris).
Si alguna vez usó una tarjeta de débito, usó una forma simple de autenticación de dos factores: no es suficiente saber el PIN o tener la tarjeta físicamente. Debe poseer ambos para acceder a su cuenta bancaria en un cajero automático.
La autenticación de dos factores puede tomar varias formas y aun así cumplir con el requisito de 2 de 3. Puede haber un token físico, como llaveros RSA SecurID, que genera continuamente códigos de seguridad aleatorios para usted. Otras empresas se saltan la ruta del hardware personalizado y ofrecen aplicaciones para teléfonos móviles (o códigos enviados por SMS) que brindan la misma funcionalidad.
Si bien es poco común en comparación con las soluciones de software, también puede usar la autenticación de dos factores basada en biometría (como proteger un archivo cifrado mediante contraseña y huella digital).
Además, algunas empresas se han movido hacia un modelo MFA que incluye las variables de autenticación que esperaría de un sistema 2FA, como la necesidad de una contraseña más un código de un solo uso de una aplicación de autenticación, con la adición de otra variable, como su ubicación física o identificadores de red.
¿Por qué y dónde debo usar la autenticación de dos factores?
Estamos firmemente convencidos de que las personas deben usar la autenticación de dos factores en casi todo lo que usan que ofrece autenticación de dos factores. Es una manera fácil y casi sin fricciones de aumentar la seguridad y disminuir el riesgo de robo de identidad, pérdidas financieras y las molestias generales generales que conllevan las infracciones de seguridad.
Hacer un esfuerzo consciente para usar contraseñas seguras y aleatorias con un administrador de contraseñas junto con la autenticación de dos factores es una mejora de seguridad tan significativa que vale la pena el inconveniente menor de ingresar un código o autenticar dos veces su identidad de vez en cuando. ¿Necesitas un poco más de convencimiento? Un análisis de Microsoft de 2019 sobre filtraciones de cuentas encontró que el 99,9 % ocurrió en cuentas sin 2FA habilitado.
¿Lo necesitas para cada cosa? No necesariamente. La autenticación de dos factores para un foro de discusión de muscle cars que usas casualmente que no contiene información personal y no está vinculado a tu correo electrónico real o información financiera es una exageración.
Sin embargo, una segunda capa de autenticación para su tarjeta de crédito o cuenta de correo electrónico principal es un excelente refuerzo de seguridad. El trauma personal y financiero que resultaría de que un ladrón de identidad u otra entidad maliciosa tuviera acceso a esas cosas supera con creces la molestia menor de ingresar un poco más de información.
Si su correo electrónico se ve comprometido, lo abre a otros servicios que se ven comprometidos, ya que el correo electrónico sirve como una especie de clave maestra para acceder a restablecimientos de contraseña y otras consultas. (Es por eso que recomendamos que las personas dejen de usar su correo electrónico principal para iniciar sesión en todo).
Si tu banco ofrece autenticación de dos factores, aprovéchalo. No olvide ninguna otra herramienta financiera que utilice, como PayPal. Si un servicio se puede usar para enviar o recibir dinero o acceder a sus registros financieros, debe usar 2FA. Lo mismo para cualquier servicio que aloje cosas personales como copias de seguridad de archivos, copias de seguridad de fotos, etc.
Incluso para cosas como plataformas de videojuegos, vale la pena. Los jugadores no solo pasan cientos de horas construyendo sus personajes y, a menudo, gastan dinero real en la compra de productos del juego, sino que perder todo ese trabajo y equipo es una propuesta horrible.
Si bien no todos los servicios ofrecen autenticación de dos factores, la cantidad de empresas que ofrecen algún tipo de autenticación de dos factores ha aumentado drásticamente a lo largo de los años. Cuando empezamos a escribir sobre 2FA, la lista de organizaciones y proveedores que la ofrecían era lo suficientemente corta como para que pudiéramos enumerarlos en un párrafo.
Ahora 2FA es relativamente común, y si hurga en los documentos de soporte o incluso solo en su perfil y página de configuración en un servicio determinado, es probable que encuentre algún tipo de opción para la autenticación de dos factores.
También puede reducir el tiempo dedicado a la búsqueda utilizando algunos de los prácticos directorios 2FA que existen, como la Lista de sitios web 2FA y el Directorio 2FA. Ambos sitios enumeran servicios populares que admiten 2FA, ofrecen información adicional como qué tipo de 2FA admiten y enlaces a documentos de ayuda relevantes para cada servicio respectivo.
Cómo funcionan los tipos comunes de autenticación de dos factores
Si bien no podemos mostrarle exactamente cómo funcionará la autenticación de dos factores en cada servicio para el que la habilite, podemos hablar sobre los métodos comunes de 2FA que debe esperar encontrar y cómo funcionan.
Correo electrónico
Si alguna vez ha iniciado sesión en un servicio y se le ha pedido que revise su correo electrónico en busca de un código de verificación, se ha topado con una forma muy básica de autenticación de dos factores.
Mencionamos anteriormente que es esencial mantener su correo electrónico seguro, y esta es la razón. Muchos servicios utilizan la verificación básica de correo electrónico con un código. Si su correo electrónico está comprometido, también lo están todos los servicios para los que usa ese correo electrónico.
Es mejor que nada, pero si está utilizando un servicio que ofrece algo más en esta lista, debe habilitarlo.
SMS y llamadas de voz
De manera similar a enviarle un código de un solo uso por correo electrónico, SMS y 2FA basado en voz envían el código a su teléfono a través de un mensaje de texto o mediante una llamada automática y leyendo el código por teléfono.
Está lejos de ser un sistema perfecto, ya que es vulnerable a ataques como estafas de transferencia de teléfonos, pero es mejor que no tener 2FA habilitado en absoluto. Si el SMS es la única opción 2FA disponible, debe usarlo ya que, sea imperfecto o no, hace que sea mucho más difícil para alguien acceder a sus cuentas.
Aplicaciones de autenticación dedicadas
Las aplicaciones de autenticación dedicadas, que son un paso importante en comparación con el correo electrónico, los SMS o las llamadas de voz, se enfocan exclusivamente en generar códigos de un solo uso.
Google Authenticator fue una de las primeras aplicaciones de autenticación y sigue siendo bastante popular (y la mayor queja de los usuarios, la falta de sincronización entre dispositivos, se solucionó como parte de una revisión masiva de la aplicación en abril de 2023). Authy y Duo son dos otras alternativas notables y populares.
Si bien no es una aplicación 2FA independiente, la popular aplicación de administración de contraseñas 1Password tiene un autenticador incorporado para ayudarlo a administrar sus tokens 2FA. 1Password también tiene una excelente función relacionada con 2FA: le notificará si un servicio que ha almacenado en su bóveda de contraseñas es compatible con 2FA y lo ayudará a configurarlo allí mismo. Si está buscando una ventanilla única para una buena administración de contraseñas y una fácil implementación de 2FA, es difícil superar a 1Password.
Finalmente, no hace falta decir que solo use aplicaciones 2FA de compañías acreditadas. No solo está comprometiendo la seguridad de su cuenta al usar una aplicación insegura, sino que en 2022 incluso hubo un caso de una aplicación de autenticación maliciosa que instaló malware y robó información bancaria.
Notificaciones de aplicaciones móviles
Algunos servicios usarán su aplicación móvil en su teléfono como una segunda forma de verificación de identidad. Los «mensajes» de Google son un ejemplo de este tipo de sistema 2FA, pero no son la única empresa que los utiliza.
Puede iniciar sesión en el servicio en la computadora de su hogar o en su computadora portátil lejos de su red doméstica, y recibirá un mensaje para abrir la aplicación de la compañía en su teléfono y confirmar que es usted quien inicia sesión en su cuenta.
Todavía es 2FA, solo se configura como una entrega de un solo token para un solo proveedor de servicios en lugar de un arreglo de llavero con múltiples tokens en una aplicación dedicada como Google Authenticator o Authy.
Claves 2FA basadas en hardware
Las claves 2FA basadas en hardware son exactamente lo que parecen: objetos físicos que utiliza para autenticar su identidad. La mayoría de las llaves 2FA físicas en el mercado son una combinación de dispositivos USB/NFC, por lo que puede conectar la llave a su computadora o sostenerla cerca de un teléfono inteligente para activarla. Existen algunos estándares, pero la mayoría de las claves 2FA basadas en hardware utilizan el estándar FIDO Universal 2nd Factor Authentication (U2F).
Al igual que ingresa un código de un solo uso de una aplicación de autenticación para confirmar su identidad, puede usar la clave física para hacer lo mismo. Si bien es innegable que es una forma genial y segura de hacer las cosas, la mayoría de las personas no siguen la ruta de la clave de hardware y usan su teléfono y la aplicación de autenticación como un método 2FA más conveniente.
Sin embargo, puede usar 2FA, sin embargo, es un momento perfecto para habilitar 2FA en todos los servicios que usa que lo admiten. Si bien la autenticación de dos factores no es invulnerable a los ataques (un ataque sofisticado de hombre en el medio o alguien que robe su token de autenticación secundario y lo golpee con una tubería podría descifrarlo), es radicalmente más seguro que confiar en una contraseña normal , y simplemente tener habilitado un sistema de dos factores lo convierte en un objetivo mucho menos atractivo.