¿Qué es 2FA? ¿Qué es MFA?

La autenticación multifactor (MFA) es un sistema diseñado para proteger su acceso a los servicios solicitándole más de una prueba. La forma más común de MFA es la autenticación de dos factores (2FA).

En esta era digital, las contraseñas son omnipresentes. Los usamos para acceder a nuestro correo, nuestras cuentas de redes sociales y nuestras plataformas de banca personal.

Cuando Internet era nuevo y los servicios en línea eran pocos, la clave era una contraseña común fácil de recordar. Sin embargo, a medida que el uso de Internet se disparó, usar una contraseña para muchos servicios no solo se volvió engorroso, sino también vulnerable, dado que compartimos gran parte de nuestra información personal confidencial en línea y utilizamos servicios financieros. Como resultado, comenzamos a usar contraseñas más seguras y, preferiblemente, contraseñas diferentes para diferentes servicios. Independientemente de lo fuerte que sea una contraseña, todo lo que necesitaría es una fuga de base de datos y su cuenta se vería comprometida.

Ahora bien, si las contraseñas son susceptibles a filtraciones en la base de datos, ¿qué podemos hacer para mantenernos a salvo? Bueno, afortunadamente, los expertos en seguridad tienen una solución para esto:autenticación multifactor.

Autenticación multifactor (MFA)

La autenticación multifactor (MFA) es un sistema diseñado para salvaguardar su acceso a los servicios solicitándole más de una pieza de identificación o verificación, también conocida como evidencia. La contraseña que usa es una de estas pruebas que lo ‘autentica’. Sin embargo, como acabamos de comentar, una contraseña es algo que puede verse comprometido en el caso de un ciberataque. La autenticación multifactor le pide que envíe dos o más pruebas para confirmar su identidad. Básicamente, es un proceso de dos o más pasos en el que verifica su identidad en la máquina (generalmente remota) proporcionando más evidencia (además de una contraseña) para la validación.

Autenticación de dos factores (2FA)

La forma más común de MFA es autenticación de dos factores (2FA), en el que se necesita una pieza de prueba o “factor” adicional para acceder. Ahora, esta evidencia que estoy enfatizando generalmente se clasifica en tres tipos: factor de conocimiento, factor de posesión, y factor biométrico. Veamos estos factores uno a la vez.

1. Factor de conocimiento

El factor conocimiento es un factor que solo el usuario conoce. Idealmente, es el factor que él / ella debe conocer de manera exclusiva. La forma tradicional de autenticación (un paso) es cuando escribe su nombre, nombre de usuario o ID de correo electrónico y luego escribe la contraseña. No hace falta decir que solo usted debe conocer esta contraseña. Además, esta contraseña nunca debe compartirse con nadie. Entonces, una ‘contraseña’ es la forma más común de factor de conocimiento.

PIN y preguntas de seguridad

Si no es una contraseña, entonces podría ser un PIN numérico (número de identificación personal), que solo consta de números (sin letras ni caracteres especiales). Algunos servicios mantienen una capa de respaldo de un factor de conocimiento adicional además de una contraseña / PIN. Esto tiene la forma de una pregunta de seguridad. Por ejemplo, la plataforma puede solicitar el apellido de soltera de su madre, su color favorito o su fecha de nacimiento.

Un ejemplo de una pregunta de seguridad para seguridad adicional de la cuenta

2. Factor de posesión

Este es otro factor en el que los autenticadores 2FA generalmente confían como una medida adicional para confirmar su identidad. El factor de posesión es un factor o pieza de evidencia que solo posee el usuario. Estas posesiones pueden tener la forma de un token de hardware o un token de software.

Token de hardware (autenticador físico)

Un token de hardware es un objeto físico (autenticador) proporcionado por un proveedor de servicios a cuyos servicios necesitaría acceder. Es una entidad física, es decir, hardware dedicado. Los tokens de hardware pueden ser de dos tipos: token conectado y token desconectado. Un token conectado es una pieza de hardware que necesita para conectarse a una computadora o un teléfono móvil para verificar su identidad. Esto podría tener la forma de una memoria USB o una tarjeta de memoria.

Ejemplos de tokens de hardware conectados (Crédito de la foto: Tony Webster / Wikimedia Commons)

Un token de hardware desconectado es un autenticador independiente. Por lo general, viene con una pantalla incorporada que sigue generando códigos de verificación para una autenticación sencilla. Lo mejor de los autenticadores de hardware desconectados es que no requieren una conexión a Internet activa para funcionar. Además, eliminan la necesidad de conectarlos a una computadora o dispositivo móvil para su funcionamiento.

Ejemplo de un token de hardware desconectado (Crédito de la foto: Brian Ronald / Wikimedia Commons)

Token de software (OTP)

Un token de software es un método de autenticación en el que el proveedor de servicios proporciona un código de verificación utilizando un servicio basado en software o en red. Esto se hace principalmente enviando un código de verificación a través de SMS. Un token de software es el segundo paso más utilizado en 2FA, en el que una contraseña de un solo uso basada en el tiempo (TOTP o simplemente OTP) se envía a través del móvil, que debe teclearse (dentro de un tiempo estipulado) para acceder después de que el usuario ingrese su contraseña. Además de los SMS, algunos proveedores de servicios envían un código de verificación por correo electrónico, una aplicación o en un dispositivo confiable conectado a Internet para la autenticación de segundo paso de 2FA.

La mayor parte de la autenticación de dos factores o la verificación de dos pasos que utiliza para acceder a una cuenta en Internet utiliza un factor de conocimiento (en forma de contraseña). Una vez que se confirma el factor de conocimiento, se le pide al usuario que ingrese un código único enviado por SMS / correo electrónico / aplicación. Si ambos datos proporcionados por el usuario son correctos, solo entonces podrá acceder. Además de estos dos factores, también se está comenzando a utilizar un nuevo tipo de factor en los sistemas de autenticación de múltiples factores: el factor biométrico.

3. Factor biométrico

Este es el factor de autenticación desarrollado más recientemente. Te autentica en función de lo que eres o lo que tienes (de forma inherente). A diferencia de un autenticador de hardware, usted, como usuario, no necesita poseer algo adicional o único para confirmar su identidad. En cambio, la máquina (usando sensores especiales) autenticaría si realmente eres la misma persona que coincide con las credenciales de inicio de sesión. Esto podría implementarse a través de reconocimiento de huellas dactilares, Reconocimiento facial, o reconocimiento de voz. Algunas empresas de tecnología incluso están trabajando en la autenticación basada en patrón de escritura de palabras clave o de una persona estilo de caminar! De todas estas variaciones, la huella digital es la forma más popular y confiable de autenticación biométrica.

Ilustración de la autenticación de huellas dactilares (Crédito de la foto: HQuality / Shutterstock)

Problemas con la autenticación biométrica

Aparentemente, la autenticación biométrica es genial y elimina la necesidad de esperar a las OTP o poseer hardware especial, pero tienen su propio conjunto de problemas.

En primer lugar, para implementar una forma biométrica de autenticación, se necesitaría hardware especializado (sensores de lectura). Estos sensores serían exclusivos del tipo de autenticación biométrica. Lo que esto significa es que el proveedor de servicios debe incorporar sensores separados, como un lector de huellas dactilares, una grabadora de audio o un escáner de iris para autenticar a los usuarios. Estas funciones adicionales generan costos adicionales desde la perspectiva del proveedor de servicios.

También existen desafíos de algunos usuarios, muchos de los cuales no se sienten cómodos compartiendo su información biométrica con las empresas. Este miedo es válido hasta cierto punto, ya que la biometría se utiliza cada vez más en la vigilancia y, a menudo, traspasa un espacio personal que es intransigente para muchas personas. Además, a diferencia de su PIN o contraseña, no puede correr cambiando su huella biométrica, en caso de que sus datos biométricos se vean comprometidos.

¿Qué tan seguro es 2FA?

Aunque la autenticación de múltiples factores o la autenticación de dos factores es indudablemente más segura que la autenticación de solo contraseña, estos sistemas no son invencibles.

Para piratear un sistema protegido por 2FA, un pirata informático obtendría acceso adquiriendo el token de hardware necesario para iniciar sesión o podría intentar obtener datos a través de una red no segura a través de la cual se transmite el código de verificación. Esto se puede hacer mediante un ataque de phishing o clonando el token de hardware. Sin embargo, hay otra forma, que no requiere mucha experiencia: un ataque a través de la recuperación de la cuenta o el restablecimiento de la cuenta.

Al aprovechar la opción de recuperación de cuenta, un pirata informático puede eludir la seguridad 2FA si tiene acceso a la contraseña de correo electrónico de un usuario.

Cuando alguien solicita la recuperación de la cuenta, es probable que el proveedor de servicios de esa cuenta le envíe al usuario una contraseña temporal. Suponiendo que el pirata informático conozca de alguna manera su contraseña de correo electrónico, obtendría esta contraseña temporal y tendría acceso no autorizado a otras cuentas. No necesita escribir una OTP u otro código de seguridad si la recuperación de la cuenta deshabilita la autenticación 2FA. Este es un problema inherente con muchas opciones de recuperación de cuentas que existen en Internet.

Algunos expertos consideran que para evitar este problema, sería útil un factor biométrico adicional, porque es casi imposible que un impostor se haga pasar por sus huellas dactilares o su iris. Sin embargo, como comentamos anteriormente, muchos usuarios no se sienten cómodos compartiendo sus datos biométricos.

Adopción y futuro de 2FA

Con los ataques cibernéticos cada vez más comunes y los piratas informáticos aprovechan técnicas como los ataques de fuerza bruta, la autenticación de un solo paso en forma de contraseña hace que las cuentas en línea sean vulnerables. Es por eso que todas las grandes empresas de tecnología como Google, Amazon, Apple, Facebook, Uber, Microsoft, Dropbox, Paypal, etc. proporcionan 2FA para proteger su cuenta.

La seguridad de TI (tecnología de la información) y las infracciones relacionadas son como un juego de policías y ladrones, con el ladrón siempre en busca de nuevas formas de ingresar al sistema. En el futuro, es casi seguro que los piratas informáticos encuentren nuevas formas de apuntar a los sistemas implementados por 2FA, ¡pero aún será mucho más difícil para los ciberdelincuentes romper dos capas de seguridad!