¿Qué es una contraseña de un solo uso (OTP)?

Una contraseña de un solo uso es un código numérico generado automáticamente que solo se puede utilizar una vez. Las contraseñas de un solo uso se utilizan para autenticar a los usuarios antes de que puedan acceder a una cuenta o sistema y, a menudo, se utilizan como forma de autenticación multifactor (MFA) para agregar factores de verificación adicionales a una cuenta. Muchas empresas, como las instituciones financieras, envían a sus usuarios contraseñas de un solo uso para verificar su identidad antes de otorgarles acceso a cuentas e información confidencial.

Continúe leyendo para obtener más información sobre las contraseñas de un solo uso, en qué se diferencian de las contraseñas de un solo uso basadas en el tiempo (TOTP) y cómo puede comenzar a recibirlas.

OTP frente a TOTP: ¿cuál es la diferencia?

La principal diferencia entre una contraseña de un solo uso (OTP) y una contraseña de un solo uso basada en el tiempo (TOTP) es que OTP es un término general que se utiliza para referirse a los diferentes tipos de contraseñas de un solo uso, mientras que TOTP es un tipo específico de contraseña de un solo uso.

Una contraseña de un solo uso basada en el tiempo es un código generado automáticamente que solo es válido durante un cierto período de tiempo y que se utiliza para verificar la identidad de un usuario. Los códigos TOTP generalmente solo son válidos de 30 a 60 segundos. Una vez que expira un código TOTP, se genera uno nuevo y solo se puede utilizar dentro del plazo para el que es válido.

¿Cuáles son los tipos de contraseñas de un solo uso y cómo funcionan?

Hay dos tipos principales de contraseñas de un solo uso: TOTP y HOTP. La forma en que funciona depende del tipo de contraseña de un solo uso que utilice.

Cómo funciona TOTP

Las contraseñas de un solo uso basadas en el tiempo funcionan de la siguiente manera: el usuario escanea primero un código QR proporcionado por el servidor de la cuenta a través de una aplicación de autenticación dedicada o un gestor de contraseñas que admita códigos TOTP. Al escanear el código QR, la aplicación de autenticación recibe un algoritmo secreto que el servidor también comparte. Cada 30 a 60 segundos se genera un código de seis dígitos. De forma alternativa, el usuario también puede introducir una clave secreta para configurar el TOTP.

Cuando el usuario inicia sesión en la cuenta con TOTP habilitado, debe introducir el código de seis dígitos proporcionado por la aplicación de autenticación antes de que caduque. Cuando el usuario introduce el código TOTP a tiempo, se le permite iniciar sesión correctamente en su cuenta.

Cómo funciona HOTP

Las contraseñas de un solo uso basadas en hash (HOTP) utilizan un factor diferente al TOTP para calcular un código llamado código de autenticación de mensajes basado en hash (HMAC). HOTP se basa en un contador, en lugar de en el tiempo, dado que calcula el código contando el número de veces que se solicita el código.

Los códigos HOTP son válidos hasta que se utilizan o se solicita un nuevo código HOTP.

Las ventajas de utilizar contraseñas de un solo uso

Utilizar contraseñas de un solo uso tiene dos ventajas principales: evitar que la cuenta sea vulnerada y protegerse contra los ataques de repetición.

Las contraseñas de un solo uso ayudan a evitar que la cuenta sea vulnerada

Las contraseñas de un solo uso, como cualquier otro método de MFA, protegen sus cuentas en línea de ser vulneradas, incluso cuando alguien consiga acceder a sus credenciales de inicio de sesión. Un informe de investigación de Microsoft descubrió que la MFA es capaz de bloquear más del 99,9% de los ataques por vulneración de cuentas.

He aquí un ejemplo: pongamos que el nombre de usuario y la contraseña de una de sus cuentas en línea ha quedado expuesto por una violación de datos hecha pública y que un cibercriminal se hace con esas credenciales violadas. Como saben a qué cuenta pertenecen las credenciales, intentan iniciar sesión en esa cuenta. Sin embargo, una vez han introducido las credenciales en el portal de inicio de sesión, se les pide que proporcionen el código de un solo uso que se muestra en su gestor de contraseñas.

Dado que el cibercriminal no tiene acceso a su gestor de contraseñas, será incapaz de proporcionar el código de un solo uso, y, por lo tanto, no podrá iniciar sesión en su cuenta.

Las contraseñas de un solo uso pueden protegerlo de los ataques de repetición

Un ataque de repetición, también conocido como ataque de reproducción, es un tipo de ataque cibernético en el que los cibercriminales espían su red y luego interceptan los datos que se intercambian para retrasar o repetir los datos más adelante. Cuando un cibercriminal intercepta con éxito los datos, también roba el ID de sesión del cliente para aparentar ser un cliente válido en la red.

Lo que hace que las contraseñas de un solo uso sean tan seguras es que solo se pueden utilizar una vez, por lo que incluso si un cibercriminal pudiera utilizar un ataque de repetición para interceptar sus credenciales de inicio de sesión de una de sus cuentas, la contraseña de un solo uso que introduzca no sería válida y no podrá reutilizarla.

Cómo recibir una contraseña de un solo uso

Puede comenzar a recibir contraseñas de un solo uso habilitándolas en la configuración de seguridad de cada una de sus cuentas en línea. Cuando habilite las contraseñas de un solo uso en una cuenta, se le preguntará cómo desea recibirlas. Entre sus opciones encontrará las siguientes.

Nota: No todos los sitios web admiten el uso de contraseñas de un solo uso como forma de MFA.

• Mensaje de texto SMS: al elegir esta opción, recibirá sus códigos OTP a través de un mensaje de texto. Si bien es un método cómodo, es la forma menos segura de recibir sus contraseñas de un solo uso debido a los ataques de intercambio de SIM.
• Llamada telefónica: al elegir esta opción, recibirá códigos OTP a través de una llamada telefónica. Esta opción OTP también es vulnerable a los ataques de intercambio de SIM.
• Correo electrónico: al elegir esta opción, recibirá un código OTP por correo electrónico. Sin embargo, las cuentas de correo electrónico son objetivos habituales, por lo que si su cuenta de correo electrónico ha sido vulnerada, el cibercriminal podría obtener el código OTP.
• Aplicación de autenticación: si elige esta opción, deberá descargar una aplicación independiente en su teléfono, como Google Authenticator. Los códigos generados por las aplicaciones de autenticación están basados en el tiempo, por lo que deberá introducirlos antes de que caduquen. Algunos gestores de contraseñas como Keeper® también incluyen una opción para generar las contraseñas de un solo uso para sus cuentas.

Proteja sus cuentas con contraseñas seguras y OTP

Unidos, las contraseñas seguras y las contraseñas de un solo uso ayudan a proteger sus cuentas en línea de cualquier riesgo. Cada cuenta en línea debe tener una contraseña única y segura que nunca se reutilice y que no contenga palabras o frases comunes del diccionario.

La mejor manera de asegurarse de que siempre utiliza contraseñas seguras es utilizando un generador de contraseñas. Muchos gestores de contraseñas disponen de generadores de contraseñas integrados para ayudarlo a crear contraseñas seguras para cada una de sus cuentas, al tiempo que las almacenan de forma segura para usted. Además de una contraseña segura, sus cuentas también deben tener contraseñas de un solo uso o algún otro método de MFA habilitado.

Keeper Password Manager puede ayudarle a mantener sus cuentas seguras ayudándole a crear y almacenar sus contraseñas y contraseñas de un solo uso. Comience a proteger sus cuentas en línea con Keeper iniciando una prueba gratuita de 30 días.