Es una medida de seguridad que requiere que proporciones un factor de identificación adicional
Tu banco, proveedor de correo electrónico y tal vez incluso tu plataforma de juegos favorita te han pedido que configures la autenticación de dos factores.
Si no tienes claro qué es o por qué querrías comenzar a usarla, sigue leyendo para saber cómo la autenticación de dos factores puede mantener más seguro todo, desde tu cuenta bancaria hasta tu colección de juegos.
¿Qué es la autenticación de dos factores?
Para comprender qué es la autenticación de dos factores (2FA), primero veamos qué es la autenticación de un factor y comparémosla con los modelos de seguridad virtual y del mundo real.
Cuando llegas a casa del trabajo, sacas las llaves y abres la puerta, estás utilizando la autenticación simple de un factor. A la puerta y al conjunto de la cerradura no les importa si la persona que tiene la llave eres tu, tu vecino o un delincuente que te las robó.
Lo único que le importa a la cerradura es que la llave encaje, no necesita dos llaves, una llave y una huella digital, ni ninguna otra combinación de controles. La llave física única es la única autorización, y su portador, ya sea legítimo o no, obtiene acceso total.
El mismo nivel de autenticación de un factor ocurre cuando inicias sesión en un sitio web o servicio que solo requiere tu nombre de usuario y contraseña. Tu, tu cónyuge o cualquier otra persona puede ingresar el nombre de usuario y la contraseña para acceder a tu cuenta de la misma manera que cualquiera podría recoger la llave de tu casa y abrir tu puerta.
Estás en buena forma si nadie te roba las claves o la contraseña. Si bien el robo de tus llaves es un riesgo bastante bajo, la seguridad virtual es más compleja. Las infracciones de seguridad, los sofisticados ataques y otros desafortunados aspectos pero demasiado reales de trabajar y jugar en un espacio virtual requieren prácticas de seguridad mejoradas, incluidas contraseñas complejas múltiples y diversas y, cuando esté disponible, autenticación de dos factores.
¿Qué es la autenticación de dos factores y cómo se ve para ti, el usuario final? La autenticación de dos factores es un subconjunto de la autenticación de múltiples factores (MFA).
Toda autenticación de dos factores es autenticación de múltiples factores, pero no toda autenticación de múltiples factores es de dos factores (ya que un sistema MFA podría requerir 3, 4 o más factores de autenticación adicionales). Coloquialmente, la gente todavía usa el término 2FA para referirse a los sistemas de múltiples factores en general, y como sigue siendo la implementación más común de la autenticación de múltiples factores, usaremos el término a lo largo de este artículo.
Como mínimo, la autenticación de dos factores requiere dos de las tres variables de autenticación, como:
• Algo que sepas (como el PIN de tu tarjeta bancaria o la contraseña de tu correo electrónico).
• Algo que tengas (la tarjeta bancaria física o un token de autenticación).
• Algo que eres (biometría como tu huella dactilar o patrón de iris).
Si alguna vez usaste una tarjeta de débito, usaste una forma simple de autenticación de dos factores: no es suficiente saber el PIN o tener la tarjeta físicamente. Debes poseer ambos para acceder a tu cuenta bancaria en un cajero automático.
La autenticación de dos factores puede tomar varias formas y aun así cumplir con el requisito de 2 de 3. Puede haber un token físico, como llaveros RSA SecurID, que genera continuamente códigos de seguridad aleatorios para ti. Otras empresas se saltan la ruta del hardware personalizado y ofrecen aplicaciones para teléfonos móviles (o códigos enviados por SMS) que brindan la misma funcionalidad.
Si bien es poco común en comparación con las soluciones de software, también se puede usar la autenticación de dos factores basada en biometría (como proteger un archivo cifrado mediante contraseña y huella digital).
Además, algunas empresas se han movido hacia un modelo MFA que incluye las variables de autenticación que esperaría de un sistema 2FA, como la necesidad de una contraseña más un código de un solo uso de una aplicación de autenticación, con la adición de otra variable, como su ubicación física o identificadores de red.
¿Por qué y dónde debo usar la autenticación de dos factores?
Estamos firmemente convencidos de que la gente debería usar la autenticación de dos factores en casi todo lo que usan que ofrece autenticación de dos factores.
Es una manera fácil y casi sin fricciones de aumentar la seguridad y disminuir el riesgo de robo de identidad, pérdidas financieras y las molestias generales que conllevan las infracciones de seguridad.
Hacer un esfuerzo consciente para usar contraseñas seguras y aleatorias con un administrador de contraseñas junto con la autenticación de dos factores es una mejora de seguridad tan significativa que vale la pena el inconveniente menor de ingresar un código o autenticar tu identidad de vez en cuando. ¿Necesitas un poco más de convencimiento? Un análisis de Microsoft de 2019 sobre filtraciones de cuentas encontró que el 99,9% ocurrió en cuentas sin 2FA habilitado.
¿Lo necesitas para cada cosa? No necesariamente. La autenticación de dos factores para un foro de discusión de coches que usas casualmente que no contiene información personal y no está vinculado a tu correo electrónico real o información financiera es una exageración.
Sin embargo, una segunda capa de autenticación para tu tarjeta de crédito o cuenta de correo electrónico principal es un excelente refuerzo de seguridad. El trauma personal y financiero que resultaría de que un ladrón de identidad u otra entidad maliciosa tuviera acceso a esas cosas supera con creces la molestia menor de ingresar un poco más de información.
Si tu correo electrónico se ve comprometido, lo abre a otros servicios que se ven comprometidos, ya que el correo electrónico sirve como una especie de llave maestra para acceder a restablecimientos de contraseña y otras consultas. (Es por eso que recomendamos que las personas dejen de usar su correo electrónico principal para iniciar sesión en todo).
Si tu banco ofrece autenticación de dos factores, aprovéchalo. No olvides ninguna otra herramienta financiera que utilices, como PayPal. Si un servicio se puede usar para enviar o recibir dinero o acceder a tus registros financieros, debes usar 2FA. Lo mismo para cualquier servicio que aloje cosas personales como copias de seguridad de archivos, copias de seguridad de fotos, etc.
Incluso para cosas como plataformas de videojuegos, vale la pena. Los jugadores no solo pasan cientos de horas construyendo sus personajes y, a menudo, gastan dinero real en la compra de productos del juego, sino que perder todo ese trabajo y equipo es una terrible propuesta.
Si bien no todos los servicios ofrecen autenticación de dos factores, la cantidad de empresas que ofrecen algún tipo de autenticación de dos factores ha aumentado drásticamente a lo largo de los años. Cuando empezamos a escuchar sobre 2FA, la lista de organizaciones y proveedores que la ofrecían era lo suficientemente corta como para que pudiéramos enumerarlas en un párrafo.
Ahora 2FA es relativamente común, y si hurgas en los documentos de soporte o incluso solo en tu perfil y página de configuración en un servicio determinado, es probable que encuentres algún tipo de opción para la autenticación de dos factores.
También puedes reducir el tiempo dedicado a la búsqueda utilizando algunos de los prácticos directorios 2FA que existen, como la Lista de sitios web 2FA y el Directorio 2FA. Ambos sitios enumeran populares servicios que admiten 2FA, ofrecen información adicional como qué tipo de 2FA admiten y enlaces a documentos de ayuda relevantes para cada servicio respectivo.
Cómo funcionan los tipos comunes de autenticación de dos factores
Si bien no podemos mostrar exactamente cómo funcionará la autenticación de dos factores en cada servicio para el que la habilites, podemos hablar sobre los métodos comunes de 2FA que debes esperar encontrar y cómo funcionan.
Correo electrónico
Si alguna vez has iniciado sesión en un servicio y se te ha pedido que revises tu correo electrónico en busca de un código de verificación, te has topado con una forma muy básica de autenticación de dos factores.
Mencionamos anteriormente que es esencial mantener tu correo electrónico seguro, y esta es la razón. Muchos servicios utilizan la verificación básica de correo electrónico con un código. Si tu correo electrónico está comprometido, también lo están todos los servicios para los que usad ese correo electrónico.
Es mejor que nada, pero si estás utilizando un servicio que ofrece algo más en esta lista, debes habilitarlo.
SMS y llamadas de voz
De manera similar a enviarte un código de un solo uso por correo electrónico, SMS y 2FA basado en voz envían el código a tu teléfono a través de un mensaje de texto o mediante una llamada automática y leyendo el código por teléfono.
Está lejos de ser un sistema perfecto, ya que es vulnerable a ataques como estafas de transferencia de teléfonos, pero es mejor que no tener 2FA habilitado en absoluto. Si el SMS es la única opción 2FA disponible, debes usarlo ya que, sea imperfecto o no, hace que sea mucho más difícil para alguien acceder a tus cuentas.
Aplicaciones de autenticación dedicadas
Las aplicaciones de autenticación dedicadas, que son un importante paso en comparación con el correo electrónico, los SMS o las llamadas de voz, se enfocan exclusivamente en generar códigos de un solo uso.
Google Authenticator fue una de las primeras aplicaciones de autenticación y sigue siendo bastante popular (y la mayor queja de los usuarios, la falta de sincronización entre dispositivos, se solucionó como parte de una revisión masiva de la aplicación en abril de 2023). Authy y Duo son otras dos notables y populares alternativas.
Si bien no es una aplicación 2FA independiente, la popular aplicación de administración de contraseñas 1Password tiene un autenticador incorporado para ayudarte a administrar tus tokens de 2FA. 1Password también tiene una excelente función relacionada con 2FA: te notificará si un servicio que has almacenado en tu bóveda de contraseñas es compatible con 2FA y te ayudará a configurarlo allí mismo. Si estás buscando una ventanilla única para una buena administración de contraseñas y una fácil implementación de 2FA, es difícil vencer a 1Password.
Finalmente, no hace falta decir que solo uses aplicaciones 2FA de compañías acreditadas. No solo estás comprometiendo la seguridad de tu cuenta al usar una aplicación insegura, sino que en 2022 incluso hubo un caso de una aplicación de autenticación maliciosa que instaló malware y robó información bancaria.
Notificaciones de aplicaciones móviles
Algunos servicios usarán su aplicación móvil en tu teléfono como una segunda forma de verificación de identidad. Los "mensajes" de Google son un ejemplo de este tipo de sistema 2FA, pero no son la única empresa que los utiliza.
Puedes iniciar sesión en el servicio en la computadora de tu hogar o en tu computadora portátil lejos de tu red doméstica, y recibirás un mensaje para abrir la aplicación de la compañía en tu teléfono y confirmar que eres tu quien inicia sesión en tu cuenta.
Todavía es 2FA, solo se configura como una entrega de un solo token para un solo proveedor de servicios en lugar de un arreglo de llavero con múltiples tokens en una aplicación dedicada como Google Authenticator o Authy.
Claves 2FA basadas en hardware
Las claves 2FA basadas en hardware son exactamente lo que parecen: objetos físicos que utilizarás para autenticar tu identidad. La mayoría de las llaves 2FA físicas en el mercado son una combinación de dispositivos USB/NFC, por lo que puedes conectar la llave a tu computadora o sostenerla cerca de un teléfono inteligente para activarla. Existen algunos estándares, pero la mayoría de las claves 2FA basadas en hardware utilizan el estándar FIDO Universal 2nd Factor Authentication (U2F).
Al igual que ingresas un código de un solo uso de una aplicación de autenticación para confirmar tu identidad, puedes usar la llave para hacer lo mismo. Si bien es innegable que es una forma genial y segura de hacer las cosas, la mayoría de las personas no siguen la ruta de la llave de hardware y usan su teléfono y la aplicación de autenticación como un método 2FA más conveniente.
Sin embargo, puedes usar 2FA, sin embargo, es un momento perfecto para habilitar 2FA en todos los servicios que usas que lo admiten. Si bien la autenticación de dos factores no es invulnerable a los ataques (un ataque sofisticado de hombre en el medio o alguien que robe tu token de autenticación secundario y lo golpee con una tubería podría descifrarlo), es radicalmente más seguro que confiar en una contraseña normal, y el simple hecho de tener habilitado un sistema de dos factores te convierte en un objetivo mucho menos convincente.
