¿Qué es la autenticación de dos factores (2FA)?
La autenticación de dos factores (2FA), un tipo de autenticación de múltiples factores (MFA), es un proceso de seguridad que verifica a los usuarios con dos formas diferentes de identificación, más comúnmente conocimiento de una dirección de correo electrónico y prueba de propiedad de un teléfono móvil. .
Usado además de la verificación regular de nombre de usuario/contraseña, 2FA refuerza la seguridad al dificultar que los intrusos obtengan acceso no autorizado, incluso si un perpetrador pasa el primer paso de autenticación (por ejemplo, fuerza bruta para un nombre de usuario y contraseña).
Hoy en día, 2FA se emplea comúnmente en sitios web de banca en línea, plataformas de redes sociales y sitios de comercio electrónico como una forma de fortalecer los controles de acceso a las áreas más sensibles de una aplicación web (por ejemplo, paneles de administración o áreas que almacenan detalles de crédito y/o información personal).
La autenticación de dos factores también permite que las empresas y las instituciones públicas sean más productivas y eficientes, lo que permite a los empleados realizar tareas remotas con muchos menos problemas de seguridad.
Métodos de autenticación multifactor
La identificación de MFA se puede clasificar en tres tipos:
Factores de conocimiento (algo que el usuario sabe)
Los ejemplos comunes son direcciones de correo electrónico, combinaciones de nombre de usuario y contraseña, respuestas a preguntas de seguridad y el CVV en el reverso de una tarjeta de crédito.
Factores de posesión (algo que el usuario posee)
Los ejemplos de este tipo de autenticación incluyen un teléfono móvil, un token USB y un lector de tarjetas.
Factores de herencia (algo que el usuario es/tiene)
Este tipo de autenticación se refiere a atributos físicos únicos que son inherentes a una sola persona, como lectores de huellas dactilares, escaneos de retina y reconocimiento de voz.
Por lo general, el método 2FA verifica la identidad del usuario contra un factor de conocimiento junto con uno de los dos tipos de factores restantes.
Ir al cajero automático es un buen ejemplo, ya que el banco requiere que proporciones tanto tu tarjeta de crédito (factor de posesión) como tu número de identificación personal (factor de conocimiento) para sacar dinero.
Posibles desventajas de la autenticación de dos factores
2FA, y la autenticación multifactor en su conjunto, es un sistema confiable y efectivo para bloquear el acceso no autorizado.
Todavía, sin embargo, tiene algunas desventajas. Éstos incluyen:
Mayor tiempo de inicio de sesión
Los usuarios deben realizar un paso adicional para iniciar sesión en una aplicación, lo que agrega tiempo al proceso de inicio de sesión.
Integración
2FA generalmente depende de servicios o hardware proporcionados por terceros, por ejemplo, un proveedor de servicios móviles que emite códigos de verificación a través de mensajes de texto.
Esto crea un problema de dependencia, ya que la empresa no tiene medios para controlar estos servicios externos en caso de que ocurra un mal funcionamiento.
Mantenimiento
El mantenimiento continuo de un sistema 2FA puede resultar una tarea ardua en ausencia de una forma eficiente de administrar una base de datos de usuarios y varios métodos de autenticación.
Seguridad de aplicaciones web y 2FA
La autenticación de dos factores puede desempeñar un papel importante en la protección de su sitio web al bloquear una serie de ataques basados en aplicaciones.
Estos incluyen ataques de fuerza bruta y de diccionario, en los que los perpetradores usan software automatizado para generar cantidades masivas de combinaciones de nombre de usuario/contraseña en un intento de adivinar las credenciales de un usuario.
Con 2FA habilitado, estos ataques son infructuosos, incluso si los perpetradores pueden descubrir la contraseña de un usuario, aún carecen de la segunda forma de identificación necesaria para iniciar sesión en la aplicación.
Además, la autenticación de dos factores puede ayudar a las aplicaciones a contrarrestar los ataques de ingeniería social, por ejemplo, phishing y spear phishing, que intentan engañar a un usuario para que revele datos confidenciales, incluidos su nombre de usuario y contraseña. Incluso en el caso de un ataque exitoso, el perpetrador aún necesitaría la forma adicional de identificación requerida por una solución 2FA.
Como tal, los Estándares de seguridad de datos (DSS) de la industria de tarjetas de pago (PCI), que se utilizan para proteger las transacciones con tarjetas de crédito y débito contra el robo de datos y el fraude, requieren 2FA como requisito previo fundamental para recibir la certificación.
