Las ventajas y los inconvenientes de los diferentes métodos de autenticación multifactor (MFA)

La autenticación multifactor (MFA) contribuye a añadir una capa adicional de seguridad a las cuentas, pero es importante tener en cuenta que no todos los métodos de autenticación multifactor son iguales en cuanto a facilidad de uso y seguridad. En este blog, repasaremos los diferentes tipos de métodos de autenticación multifactor (MFA), así como las ventajas y los inconvenientes de cada uno.

MFA basada en SMS

La Autenticación Multifactor (MFA) basada en SMS permite a los usuarios verificar su identidad con una Contraseña de un solo uso (OTP) que se envía a su celular. Cuando un usuario intenta iniciar sesión en su cuenta, el sistema envía una Contraseña de un solo uso (OTP) a través de un mensaje de texto al número de celular asociado. El usuario debe introducir el código en la interfaz de inicio de sesión para completar el proceso de autenticación y obtener acceso a su cuenta.

Ventajas

1. Fácil de configurar y usar: los usuarios solo necesitan un número de celular válido.

2. Ampliamente disponible: casi todos los teléfonos móviles pueden recibir mensajes de Servicio de Mensajes Cortos (SMS), ya sean smartphones o teléfonos básicos.

3. No se necesita equipo especializado: los usuarios solo necesitan un celular capaz de recibir mensajes.

Contras

1. Vulnerables a la suplantación de SIM: un atacante puede convencer al operador de telefonía celular de un usuario para que transfiera su número de celular a una nueva tarjeta SIM bajo su control. Esto permite a los atacantes interceptar los mensajes SMS, incluidos los mensajes de contraseñas de un solo uso (OTP).

2. Vulnerables al phishing: los atacantes pueden suplantar la identidad de organizaciones legítimas a través de mensajes de texto, engañando a los usuarios para que revelen sus contraseñas de un solo uso (OTP).

3. No es tan seguro como otros métodos de autenticación de múltiples factores (MFA): los mensajes SMS no se cifran, lo que significa que existe el riesgo de que las contraseñas de un solo uso (OTP) se intercepten durante la transmisión.

Autenticación de múltiples factores (MFA) basada en correo electrónico

La autenticación multifactor (MFA) basada en correo electrónico permite a los usuarios verificarse con un código o un enlace mágico que se envía a su dirección de correo electrónico registrada. Cuando un usuario intenta iniciar sesión en su cuenta, recibe un correo electrónico con una contraseña de un solo uso (OTP) o un enlace mágico. El usuario debe introducir la OTP o hacer clic en el enlace mágico para completar el proceso de autenticación y obtener acceso a su cuenta.

Ventajas

1. Fácil de configurar y usar: los usuarios solo necesitan una dirección de correo electrónico, que la mayoría ya posee.

2. No se necesitan aplicaciones ni dispositivos adicionales: solo se necesita un dispositivo con acceso a la cuenta de correo electrónico del usuario, ya sea un celular inteligente, una tableta o una computadora.

Contras

1. Vulnerable a que se comprometan las cuentas de correo electrónico: si la cuenta de correo electrónico de un usuario se ve comprometida, un atacante puede obtener acceso a la OTP y superar la autenticación MFA.

2. Se basa en la disponibilidad del correo electrónico: si el usuario no puede acceder a su cuenta de correo electrónico por problemas como la falta de conexión a Internet o la interrupción de los servicios, no podrá iniciar sesión en su cuenta, ya que no se podrá recibir ningún OTP ni enlace mágico.

Autenticación mediante llamada de voz

La autenticación mediante llamada de voz permite a los usuarios verificarse a través de una OTP recibida mediante una llamada de voz al número de celular registrado asociado con su cuenta. Cuando un usuario intenta iniciar sesión en su cuenta, recibe una llamada de voz automatizada en la que el sistema lee una contraseña de un solo uso (OTP). El usuario introduce este código en la interfaz de inicio de sesión para completar el proceso de autenticación y obtener acceso a su cuenta.

Ventajas

1. Simple y accesible para los usuarios sin smartphone: no requiere que los usuarios tengan un smartphone ni un plan de datos, a diferencia de las aplicaciones de autenticación basadas en SMS. Solo necesita un celular básico capaz de recibir llamadas.

2. Funciona sin necesidad de conexión a Internet: siempre que el usuario tenga acceso a la red celular, puede recibir una llamada de voz con la OTP, independientemente de que tenga acceso a Internet.

Contras

1. Vulnerables a la suplantación de SIM: un atacante puede convencer al operador de telefonía celular de un usuario para que transfiera su número de celular a una nueva tarjeta SIM bajo su control. Esto permite a los atacantes interceptarla OTP enviada a través de una llamada de voz.

2. Vulnerable a la suplantación de identidad y el vishing: los atacantes pueden suplantar el número de celular de un servicio legítimo y engañar a los usuarios para que crean que están recibiendo una llamada de OTP. El atacante puede solicitar información confidencial o convencer al usuario de que introduzca la OTP en un sitio malicioso.

3. Limitaciones por discapacidad auditiva: es posible que los usuarios con dificultades auditivas no puedan escuchar claramente la OTP que se proporciona durante la llamada.

Aplicaciones de autenticación

Las aplicaciones de autenticación son aplicaciones que generan OTP basadas en el modelo de verificación Contraseña de un solo uso de tiempo limitado (TOTP). Los gestores de contraseñas de calidad suelen tener una función de autenticador en la plataforma, lo que permite a los usuarios guardar los códigos y acceder a ellos en todos los dispositivos.

Cuando configuran la autenticación de múltiples factores (MFA) con una aplicación de autenticación, los usuarios escanean un código QR o introducen manualmente una clave secreta. Con esta clave, la aplicación aplica un algoritmo para generar OTP únicas que cambian cada 30 o 60 segundos. Cuando un usuario intenta iniciar sesión en su cuenta, debe introducir el código que se muestra en la aplicación de autenticación. El servidor verifica si el código introducido coincide con el generado y, de ser así, el usuario obtiene acceso.

Ventajas

1. Disponible sin conexión: no necesita conexión a Internet para generar OTP, ya que la aplicación utiliza la clave secreta almacenada en el dispositivo para generar códigos basados en el tiempo.

2. Uso gratuito: la mayoría de las aplicaciones de autenticación se pueden descargar y utilizar gratuitamente, lo que las convierte en una solución MFA segura y asequible.

Contras

1. Requiere un celular inteligente u otro dispositivo dedicado: los usuarios deben tener acceso a un dispositivo que admita la aplicación.

2. Vulnerable a ataques específicos de las aplicaciones: si un atacante obtiene acceso al dispositivo de un usuario, puede acceder a las claves secretas almacenadas para generar OTP y lograr acceder de forma no autorizada.

3. Puede suponer un reto para algunos usuarios: el proceso de instalación de la aplicación, escaneo de un código QR y gestión de varias cuentas en línea puede resultar abrumador para los usuarios con menos conocimientos tecnológicos.

Claves de seguridad FIDO2

Una clave de seguridad FIDO2 es un método de autenticación multifactor MFA basado en hardware que se ha diseñado para permitir a los usuarios iniciar sesión en sus cuentas de forma segura sin tener que introducir una contraseña o un código. Se trata de un dispositivo físico que un usuario conecta a su computadora o dispositivo celular, normalmente a través de USB, NFC o Bluetooth. Las claves de seguridad FIDO2 utilizan la criptografía de clave pública para crear un par de claves: una clave pública que se almacena en el servidor y una clave privada que se almacena de forma segura en la propia clave de seguridad. Cuando un usuario intenta iniciar sesión en una cuenta, inserta la clave de seguridad FIDO2 cuando se le solicita y la toca, firmando el desafío de autenticación con la clave privada para verificar su identidad.

Ventajas

1. Inmune a los ataques de intermediario: los atacantes no pueden interceptar los datos que se comunican entre el usuario y el servidor porque no tendrán la clave privada necesaria para completar el proceso de autenticación.

2. Inmune a los ataques de phishing: los atacantes no pueden engañar a los usuarios para que revelen la clave privada o los códigos de autenticación, debido a la dependencia de la criptografía de clave pública y al requisito físico de la clave de seguridad.

3. Resistente al intercambio de SIM: las claves de seguridad no se basan en un número de celular, lo que elimina la vulnerabilidad al intercambio de SIM.

4. Funciona en varias aplicaciones y sitios web: las claves de seguridad FIDO2 son ampliamente compatibles con los principales navegadores, plataformas y dispositivos.

Contras

1. Cuesta dinero: las claves de seguridad FIDO2 pueden tener un precio de entre 20 a 100 USD o más, en función de las funciones y la marca.

2. La pérdida de la clave puede provocar un bloqueo de la cuenta si no se configura ningún método de copia de seguridad: si un usuario pierde su clave de seguridad FIDO2, es posible que se le bloquee el acceso a su cuenta, a menos que disponga de un método de autenticación de copia de seguridad, como otra clave, un código de copia de seguridad o una opción de recuperación.

3. Requiere un dispositivo físico: los usuarios siempre deben llevar la clave con ellos para autenticarse, lo que puede ser un inconveniente si alguna vez la pierde u olvida o no puede acceder a ella fácilmente.

Tokens de hardware

Los tokens de hardware son dispositivos físicos, como llaveros o tarjetas inteligentes, que se utilizan para verificar la identidad de un usuario mediante la generación de códigos TOTP. Cuando un usuario intenta iniciar sesión en su cuenta, el sistema le pide que introduzca la contraseña de un solo uso (OTP) generada por el token de hardware. Dependiendo del tipo de token, el usuario leerá el código de la pantalla del dispositivo o pulsará un botón para mostrar el código, que luego introducirá en la interfaz de inicio de sesión. El servidor comprueba si el código introducido coincide con el que genera en función del secreto compartido y la hora actual. Si los códigos coinciden, el usuario tendrá acceso.

Ventajas

1. Genera OTP incluso sin una conexión a Internet: esto lo hace ideal para los usuarios que se encuentran en entornos donde no hay conexión a Internet.

2. Fácil de configurar y usar: el usuario solo tiene que vincular el token de hardware a su cuenta y estará listo para generar OTP automáticamente sin ninguna otra intervención.

Contras

1. Cuesta dinero: los usuarios y las organizaciones deben comprar el dispositivo físico, lo que puede sumar gastos, especialmente en el caso de las empresas más grandes que necesitan proporcionar tokens para varios o todos los usuarios. Los precios de los tokens pueden variar entre 20 y 100 USD o más.

2. Tokens perdidos o robados: es posible que los usuarios no puedan acceder a sus cuentas hasta que se les proporcione un nuevo token, lo cual puede ser un proceso que consume tiempo.

3. Requiere un dispositivo físico: los usuarios deben llevar los tokens con ellos en todo momento para acceder a sus cuentas, lo que puede ser inconveniente si se pierde u olvida un token.

Autenticación biométrica

La autenticación biométrica es un tipo de método de autenticación MFA que utiliza características físicas o de comportamiento para verificar la identidad de un usuario. A diferencia de las contraseñas o las OTP tradicionales, la autenticación biométrica se basa en rasgos únicos inherentes a cada persona. Estos rasgos pueden incluir huellas digitales, rasgos faciales, patrones de voz, escaneos del iris o la retina o incluso patrones de escritura. Cuando un usuario intenta iniciar sesión, el sistema captura y analiza sus datos biométricos y los compara con los datos almacenados durante la configuración inicial para verificar su identidad.

Ventajas

1. Rápido, fácil y con una configuración mínima: La configuración inicial requiere que el usuario escanee huellas digitales, cara u otros rasgos biométricos. Una vez configurada, la autenticación requiere únicamente una mirada o un toque.

2. Únicos para cada usuario: Los rasgos biométricos son difíciles de imitar, y la probabilidad de que dos personas tengan exactamente las mismas huellas dactilares, los mismos rasgos faciales o el mismo patrón de retina es extremadamente baja.

Contras

1. Es posible que no funcione eficazmente en determinadas circunstancias: por ejemplo: Si el dedo de un usuario está sucio o tiene una herida, el sistema puede tener dificultades para leer correctamente la huella digital. Del mismo modo, si usan gafas, mascarillas o gorros, es posible que el sistema no pueda escanear con precisión la cara.

2. Preocupaciones sobre la privacidad y el uso indebido de los datos biométricos: si los datos biométricos se almacenan o se accede a ellos de forma insegura, pueden ser vulnerables al robo o el uso indebido.

3. Posibilidad de que se produzcan falsos positivos: por ejemplo, los gemelos o las personas de aspecto similar con rasgos faciales parecidos pueden provocar un falso positivo.

Notificaciones emergentes

Las notificaciones emergentes permiten a los usuarios verificar su identidad recibiendo una notificación en su dispositivo celular. Cuando el usuario intenta iniciar sesión, en lugar de tener que introducir un código OTP, recibe una notificación de inserción en la que se le pide que apruebe o niegue el intento de inicio de sesión. Al seleccionar «aprobar», el usuario verifica su identidad y confirma que ha sido él quien inició sesión sin tener que introducir manualmente un código.

Ventajas

1. Proceso de aprobación rápido: a diferencia de los métodos OTP, en los que el usuario tiene que esperar a que se le envíe un mensaje de texto e introduzca un código, el proceso de aprobación de las notificaciones push es instantáneo.

2. Más seguras que los SMS: las notificaciones push se envían a través de una conexión cifrada con el servidor, lo que las hace menos vulnerables a las intercepciones.

Contras

1. Requiere un smartphone o un dispositivo para recibir la notificación push: se necesita un dispositivo capaz de recibir notificaciones para completar el proceso de autenticación.

2. No será eficaz si el celular del usuario se pierde o se lo roban, está sin conexión o en modo avión: Si un usuario no tiene su smartphone o se encuentra en una situación en la que su dispositivo no está disponible, no podrá acceder a sus cuentas.

Qué tener en cuenta al elegir un método de autenticación MFA

A la hora de decidir qué método de autenticación MFA utilizar, es importante evaluar varios factores para que la solución elegida cumpla con sus requisitos específicos. Estos factores incluyen sus necesidades de seguridad, la comodidad y el coste de implementación.

• Necesidades de seguridad: el nivel de seguridad que necesita puede variar en función de la sensibilidad de la información que se esté protegiendo. Para los datos muy sensibles, lo mejor es elegir una solución de autenticación MFA que ofrezca el más alto nivel de protección. Soluciones como la biometría, los tokens de hardware o las claves de seguridad FIDO2 se consideran las formas de autenticación multifactor (MFA) más seguras debido a su resistencia a las amenazas cibernéticas comunes.
• Comodidad para el usuario: evalúe su preferencia entre la facilidad de acceso y la máxima seguridad. Es importante encontrar un equilibrio entre la simplicidad y la seguridad para que la experiencia sea fácil de usar y la información confidencial siga estando protegida. Si la comodidad es una prioridad, soluciones como la biometría o las notificaciones push son la opción ideal, ya que ofrecen una autenticación rápida y sin problemas.
• Costo: evalúe tanto el costo inicial de la implementación como el costo de mantenimiento continuo. Algunas soluciones de autenticación multifactor (MFA) pueden tener costos bajos, como la autenticación mediante SMS, mientras que otras, como los tokens de hardware o las claves de seguridad FIDO2, pueden ser más caras de implementar y mantener.

Proteja sus cuentas con métodos de autenticación multifactor (MFA) seguros.

A la hora de seleccionar la solución de autenticación multifactor (MFA) adecuada, es fundamental comprender tanto las ventajas como las desventajas de los diferentes métodos. Independientemente del método que elija, habilite siempre la autenticación multifactor (MFA) para todas las cuentas que la ofrezcan como opción. Cualquier opción de autenticación multifactor (MFA) es mucho más segura que no tener ninguna.

Keeper Password Manager le permite almacenar, acceder y compartir de forma segura códigos OTP, e incluso los rellena automáticamente. De esta manera, todos los usuarios de su organización pueden utilizar contraseñas seguras y habilitar la autenticación MFA para todas las cuentas.

Comience una prueba gratuita de 14 días de Keeper Password Manager para mejorar la seguridad de sus cuentas.