Aplicación de autenticación frente a la autenticación por SMS: ¿cuál es más segura?

La autenticación multifactor (MFA) se ha convertido en una necesidad de seguridad cibernética para proteger las cuentas en línea. Garantiza que solo los usuarios autorizados puedan acceder a una cuenta. Sin embargo, al elegir un método de MFA, algunas opciones son más seguras que otras. Una aplicación de autenticación es más segura que la autenticación por SMS porque genera códigos 2FA a nivel local, lo que evita que los cibercriminales puedan interceptar los códigos como sí pueden hacer con los SMS.

Siga leyendo para obtener más información sobre las aplicaciones de autenticación, la autenticación por SMS, por qué las aplicaciones de autenticación son más seguras que la autenticación por SMS y cómo configurar una aplicación de autenticación.

¿Qué es una aplicación de autenticación?

Una aplicación de autenticación es una aplicación utilizada como método de verificación adicional para la MFA. Genera un código de forma local, en su dispositivo, y lo utiliza junto con sus credenciales de inicio de sesión para acceder a sus cuentas en línea. Estos códigos de aplicaciones de autenticación se conocen como contraseñas únicas basadas en el tiempo (TOTP). Las TOTP son códigos únicos de seis a ocho dígitos con una duración de 30 a 60 segundos. Después de 30 a 60 segundos, la aplicación de autenticación generará un nuevo código TOTP exclusivo, basado en un algoritmo secreto.

Las aplicaciones de autenticación funcionan en función del modelo de verificación TOTP. Cuando un usuario configura la MFA para su cuenta, puede elegir TOTP como su método de MFA. Esto hará que el servidor de la cuenta cree un código QR para que la aplicación de autenticación lo escanee o una clave secreta que se puede introducir manualmente. El código y la clave QR contienen un algoritmo secreto que genera códigos TOTP en tiempo real. Una vez el usuario haya terminado de configurar su aplicación de autenticación, tanto la aplicación de autenticación como el servidor de la cuenta generarán el mismo código de forma independiente y simultánea.

Cuando el usuario intenta iniciar sesión en su cuenta, introduce sus credenciales de inicio de sesión junto con el código TOTP de su aplicación de autenticación. El servidor de la cuenta verificará el código TOTP del usuario para ver si coincide con el mismo código generado por el servidor de la cuenta. Si los códigos coinciden, el usuario podrá acceder a la cuenta. Si los códigos no coinciden, se le denegará el acceso a la cuenta.

¿En qué consiste la autenticación por SMS?

La autenticación por SMS es un tipo de método de autenticación que verifica la identidad de un usuario mediante un código que se le envía a través de un mensaje de texto. Estos códigos son contraseñas de un solo uso (OTP), generadas para usarlas una sola vez. Las OTP duran de 30 segundos a una hora, y los usuarios deben solicitar una nueva OTP después del plazo, en caso de ser necesario.

Al crear una cuenta, a menudo se pide a los usuarios que proporcionen su número de teléfono, que el servidor de la cuenta utilizará para enviarles un código OTP. Para acceder a su cuenta, los usuarios deben proporcionar sus credenciales de inicio de sesión junto con el código OTP recibido a través de un mensaje de texto. La autenticación por correo electrónico es lo mismo que la autenticación por SMS, pero utilizando una dirección de correo electrónico en lugar de un número de teléfono para enviar los códigos OTP.

Por qué debería utilizar una aplicación de autenticación en lugar de SMS

Es recomendable utilizar una aplicación de autenticación en lugar de la autenticación por SMS, puesto que es más segura y tiene muchas menos probabilidades de que sea interceptada por los cibercriminales. Las aplicaciones de autenticación generan códigos 2FA de forma local en un dispositivo, en lugar de enviarlos sin cifrar a través de un mensaje de texto. Los códigos 2FA de las aplicaciones de autenticación también cambian cada 30 a 60 segundos, lo que dificulta su robo para los cibercriminales.

La autenticación por SMS envía códigos 2FA sin cifrar a través de un mensaje de texto. Los códigos 2FA de SMS pueden vulnerarse fácilmente a través de ataques de intermediario e intercambios de SIM.

• Ataque de intermediario: un tipo de ataque cibernético en el que los cibercriminales interceptan los datos transmitidos a través de una red wifi no cifrada. Si un usuario se conecta a través de una red wifi pública o falsificada, los cibercriminales podrá espiar, robar o modificar su tráfico de Internet, incluidos los códigos 2FA.
• Intercambio de SIM: es cuando los cibercriminales se hacen pasar por una víctima para convencer a un operador de telefonía móvil de que active una nueva tarjeta SIM con el número de celular de la víctima. Los cibercriminales recibirán los mensajes de texto y las llamadas telefónicas de la víctima, que podrán utilizar para robar sus códigos 2FA por SMS.

Dado que las aplicaciones de autenticación generan códigos 2FA de forma local, los cibercriminales no pueden interceptarlos. La única forma de robar los códigos 2FA de una aplicación de autenticación es comprometiendo el dispositivo con malware, a través de la ingeniería social o robando el dispositivo de forma física; sin embargo, estos métodos también podrían utilizarse para robar los códigos de SMS. Otra forma de robar los códigos 2FA de las aplicaciones de autenticación es robando el código QR, lo que es poco común y muy complicado. Los usuarios pueden proteger fácilmente los códigos 2FA de una aplicación de autenticación protegiendo su dispositivo con un PIN, evitando el malware y la ingeniería social y manteniendo los códigos QR y 2FA ocultos.

Cómo configurar una aplicación de autenticación

Configurar la MFA con una aplicación de autenticación es muy sencillo. Estos son los pasos para configurar una aplicación de autenticación:

1. Elija una aplicación de autenticación: no todas las aplicaciones de autenticación son iguales. Elija una aplicación de autenticación que se ajuste a sus necesidades. Le recomendamos utilizar un gestor de contraseñas, ya que algunos gestores de contraseñas son capaces de generar y almacenar códigos 2FA en una bóveda de contraseñas digital.
2. Descargue la aplicación de autenticación en su dispositivo: si está utilizando una aplicación de autenticación independiente, deberá descargar la aplicación en su dispositivo. Debería descargar la aplicación de autenticación en su teléfono para poder acceder a ella de forma permanente.
3. Habilite la MFA en su cuenta: después de descargar la aplicación de autenticación, inicie sesión en su cuenta y habilite la MFA. Elija la configuración que le permita utilizar una aplicación de autenticación como método de MFA. Su cuenta le mostrará el código QR y la clave secreta con el algoritmo que genera los TOTP.
4. Escanee el código QR o introduzca la clave secreta con la aplicación de autenticación.: a continuación, escanee el código QR con la aplicación de autenticación o introduzca manualmente la clave secreta, para que la aplicación de autenticación pueda generar los mismos códigos TOTP que el servidor de la cuenta.
5. Todo listo: ya ha configurado su aplicación de autenticación como método de MFA para su cuenta. La próxima vez que intente iniciar sesión en su cuenta, utilizará el TOTP de su aplicación de autenticación para obtener acceso. Repita los pasos 3 y 4 cada vez que quiera configurar la MFA para sus otras cuentas.

Cómo protegen sus cuentas los gestores de contraseñas con 2FA integrada

Si bien utilizar la autenticación por SMS es mejor que no tener ninguna MFA habilitada, debería escoger una aplicación de autenticación en lugar de la autenticación por SMS siempre que pueda, puesto que es más segura. Las aplicaciones de autenticación son cómodas, seguras y gratuitas, lo que las convierte en una mejor opción para la MFA.

Es posible que pueda utilizar un gestor de contraseñas como método de MFA. Algunos gestores de contraseñas disponen de aplicaciones de autenticación integradas que generarán y almacenarán los códigos 2FA de sus cuentas. Utilizar un gestor de contraseñas hace que sea más fácil iniciar sesión en sus cuentas, ya que podrá acceder a sus credenciales de inicio de sesión y a sus códigos 2FA desde cualquier dispositivo. Algunos gestores de contraseñas ofrecen una función de autocompletar que completa sus credenciales de inicio de sesión y sus códigos 2FA cuando intenta iniciar sesión.

Keeper Password Manager tiene funciones de aplicación de autenticación integradas, lo que le permite generar códigos 2FA cada vez que intente iniciar sesión en sus cuentas. También cuenta con la función KeeperFill, que completa automáticamente sus credenciales de inicio de sesión y sus códigos 2FA cada vez que intenta iniciar sesión en sus cuentas. Regístrese para obtener una prueba gratuita y proteger sus cuentas con una MFA segura.