La autenticación de dos factores (2FA)

 

Traducido por L. Domenech

La autenticación de dos factores (2FA)Traducido por L. Domenech

La autenticación de dos factores (también conocida como 2FA) es una capa de seguridad adicional que se utiliza para mantener las cuentas seguras y garantizar que las personas no puedan acceder a las cuentas en línea que no les pertenecen. 

Descripción general

Después de muchas violaciones de datos importantes generalizadas y de alto perfil, que han comprometido a millones de personas, muchas personas han llegado a comprender más sobre la seguridad de las contraseñas y el hecho de que una simple contraseña no puede mantener seguros sus perfiles en línea. Eso ha llevado al aumento de la popularidad de la autenticación de dos factores, una capa adicional de seguridad que puede mantener seguras las cuentas en línea.

Factores de autenticación

Un factor de autenticación es una categoría de credencial de seguridad que se utiliza para verificar la identidad y la autorización de un usuario antes de permitirle acceder a su cuenta, enviar comunicaciones o solicitar datos desde una red, un sistema o una aplicación seguros.

Hay tres factores comunes de autenticación: algo que eres, algo que sabes y algo que tienes. Vamos a desglosarlos aún más:

Algo que eres. Este tipo de 2FA incluye métodos biométricos como huellas dactilares, escaneos retinianos o faciales, análisis de escritura a mano o reconocimiento de voz. La mayoría de los teléfonos inteligentes modernos usan reconocimiento facial, las computadoras portátiles a menudo usan lectores de huellas dactilares e incluso se le puede pedir que ingrese una huella de mano si compra un pase de temporada para un parque de diversiones. Aunque este tipo de 2FA proporciona la autenticación más sólida de cualquier método de autenticación de dos factores, no es perfecto. Cualquiera que haya tenido un dispositivo con la capacidad de escanear rostros o huellas dactilares ha experimentado la frustración de intentar y no lograr que su iPhone acepte su rostro o huellas dactilares lo sabe.

Algo que sepas. Este podría ser el factor más común utilizado en la autenticación de dos factores. Generalmente, será una contraseña o un número de identificación personal (PIN). Desafortunadamente, estos factores de autenticación también son los más vulnerables a los ataques de seguridad. Muchas personas usan las mismas contraseñas en una cuenta tras otra, y si hay una infracción en una sola cuenta, eso significa que todas las cuentas están comprometidas.

Algo que tienes. Este tipo de factor generalmente se controla a través de un dispositivo que se sabe que está en posesión de un usuario legítimo (generalmente un teléfono inteligente). Primero, un usuario se registra para obtener una cuenta con una dirección de correo electrónico y una contraseña, y luego registra su número de teléfono. Luego, el usuario inicia sesión en su cuenta con esa dirección de correo electrónico y contraseña, momento en el que se envía una contraseña de un solo uso al número de teléfono móvil del usuario. Una vez que el usuario ingresa eso en su dispositivo, obtiene acceso a su cuenta y al sistema.

¿Qué es la autenticación de dos factores?

La autenticación de dos factores (2FA) es un proceso de seguridad mediante el cual los usuarios deben proporcionar dos factores de autenticación diferentes para verificar su identidad y acceder a su cuenta. Este proceso garantiza una mejor protección de la información personal, las credenciales y otros activos de un usuario, al tiempo que mejora la seguridad de los recursos a los que el usuario puede acceder.

Ciertamente, la autenticación de dos factores proporciona un nivel de seguridad más alto que los métodos de autenticación que dependen de un solo factor de autenticación (autenticación de un solo factor), donde el usuario proporciona solo un factor (generalmente una contraseña o PIN). Un método 2FA requeriría que un usuario proporcione no solo una contraseña o un PIN, sino un segundo factor, que va desde un factor biométrico (un escaneo facial, retiniano o de huellas dactilares) hasta un factor de posesión (un código de uso único enviado a un teléfono inteligente que se sabe que está en posesión de un usuario).

Esa capa adicional de seguridad significa que incluso si un atacante conoce la contraseña de un usuario, no se le permitirá el acceso a su cuenta en línea o dispositivo móvil. De hecho, la autenticación de dos factores se ha utilizado durante mucho tiempo para controlar quién puede acceder a datos y sistemas confidenciales, y los profesionales de seguridad instan a habilitar la autenticación de dos factores en todas sus cuentas, computadoras y dispositivos móviles en línea.

La autenticación de dos factores es un componente clave de la ciberseguridad y el trabajo realizado por los analistas de ciberseguridad.

¿Qué significa 2FA?

La autenticación de dos factores (2FA) se refiere a un método de seguridad que se utiliza para ayudar a proteger las cuentas y los sistemas del acceso no autorizado al exigir a los posibles usuarios que proporcionen algún tipo de verificación adicional de su identidad.

La autenticación de dos factores se puede utilizar para fortalecer la seguridad de un teléfono, una cuenta en línea o incluso una puerta. Funciona exigiendo dos tipos de información del usuario: el primer factor suele ser una contraseña o un número de identificación personal (PIN), mientras que el segundo factor podría ser una huella digital o un código de un solo uso enviado a su teléfono.

Si bien la autenticación de dos factores mejora la seguridad, no es completamente infalible.

Verificación en dos pasos frente a autenticación en dos factores

Aunque a menudo usamos la autenticación de dos factores y la verificación de dos pasos indistintamente y parece que se superponen considerablemente, no son exactamente lo mismo.

Apple diferencia entre la verificación en dos pasos y 2FA al señalar la verificación en dos pasos como un método de seguridad más antiguo e inferior, donde un usuario debe ingresar una contraseña y un código de un solo uso que se ha enviado a su iPhone u otro dispositivo confiable.

Aunque esa es una forma de hacerlo, la autenticación de dos factores también incluye los métodos de autenticación utilizados en un iPhone moderno, que está equipado con tecnología de escaneo facial, y Macbooks, a los que se puede acceder después de un escaneo de huellas dactilares.

¿Qué es un código de autenticación de dos factores?

Un código de autenticación de dos factores es un código de una sola vez que se genera para probar la identidad de un usuario cuando intenta acceder a una cuenta o sistema en línea. El código se enviaría por mensaje de texto o mediante una llamada telefónica automática a un número de teléfono asociado con el usuario. Al ingresar el código de autenticación de dos factores, el usuario obtiene acceso a su cuenta en línea.

Estos códigos a menudo caducan después de un corto período de tiempo si no se usan.

Beneficios de la autenticación de dos factores

Los beneficios de la autenticación de dos factores son que agrega una capa adicional de seguridad muy necesaria contra los ataques y puede aumentar la seguridad de los sistemas, las empresas y las personas comunes.

2FA ofrece una capa adicional de protección para los usuarios porque un nombre de usuario y una contraseña simplemente ya no son suficientes. Por un lado, el robo de identidad está aumentando a un ritmo siniestro. El estudio de fraude de identidad de 2018 realizado por Javelin Strategy & Research concluyó que el número de víctimas de fraude de identidad aumentó en un ocho por ciento solo en 2017, a 16,7 millones de consumidores estadounidenses. El valor combinado del fraude alcanzó los $ 16.8 millones. La introducción de la autenticación de dos factores que no depende de la contraseña mejora en gran medida la seguridad y reduce el riesgo de robo de identidad.

Además, las numerosas violaciones de datos que hemos visto en los últimos años han creado una situación en la que millones de personas, sin saberlo, tienen su información personal (incluido su nombre de usuario y contraseña) disponible para que cualquiera la vea. Además, muchas personas usan la misma contraseña en varios sitios, por lo que un pirata informático podría intentar usar la misma información de inicio de sesión en una variedad de sitios diferentes hasta encontrar uno que funcione. El Informe de Investigaciones de Violaciones de Datos de 2017 de Verizon encontró que el 81 por ciento de las violaciones de cuentas podrían atribuirse a contraseñas que se filtraron de esta manera o contraseñas que eran demasiado débiles y posibles de adivinar.

Aún así, no hay suficientes personas que hayan adoptado 2FA. Google, por ejemplo, reveló recientemente que menos del 10 por ciento de los usuarios de Gmail hacen uso de las medidas de seguridad 2FA disponibles para proteger sus cuentas.

Para las empresas, los beneficios de adoptar 2FA son obvios: nadie puede permitirse el lujo de pasar por alto la ciberseguridad en estos días. La autenticación de dos factores también puede ayudar a reducir los costos de TI. El restablecimiento de la contraseña es una de las razones más comunes por las que la gente llama a los servicios de asistencia: un estudio de la asociación de la industria HDI concluyó que más de un tercio de los tickets de la mesa de ayuda implican restablecimientos de contraseña.

¿Se puede piratear la autenticación de dos factores?

Aunque es posible que se piratee la autenticación de dos factores, las probabilidades son muy bajas y 2FA es sin duda la mejor práctica cuando se trata de mantener las cuentas y los sistemas seguros. Una de las formas en que se puede piratear la autenticación de dos factores ocurre a través del método SMS o, en otras palabras, el método mediante el cual se envía un código de un solo uso al número de teléfono de un usuario a través de un SMS o una llamada telefónica automática.

Ha habido historias de piratas informáticos que engañan a los operadores de telefonía móvil para que transfieran el número de teléfono de otra persona a su propio teléfono. Los piratas informáticos contactan a los operadores haciéndose pasar por sus víctimas, solicitando una nueva SIM con el número de la víctima. Luego tienen acceso a cualquier código de autenticación enviado a ese número de teléfono. Llamado intercambio de SIM, esta es probablemente la forma más común de sortear 2FA.

Pero los propios procesos de seguridad de los operadores están mejorando e incluso reconociendo esos riesgos, 2FA sigue siendo una herramienta sólida y esencial en la lucha contra los ataques cibernéticos y el fraude de identidad.

Tipos de 2FA

Hay varios tipos principales de 2FA de uso común y vale la pena conocer las diferencias y los respectivos pros y contras de los diferentes métodos.

¿Cómo funciona 2FA?

La autenticación de dos factores funciona agregando otra capa de seguridad a las cuentas y los sistemas en línea. 2FA funciona exigiendo que cualquier usuario que intente iniciar sesión empareje su primer factor de autenticación (una contraseña o número de identificación personal) con un segundo factor, que normalmente es algo que usted sabe, algo que tiene o algo que es. Con 2FA, los usuarios deberán proporcionar ambos factores para tener acceso a sus cuentas o un sistema.

Cuando se implementa correctamente, 2FA debería hacer imposible que los piratas informáticos accedan a su cuenta utilizando solo contraseñas e información de inicio de sesión robadas. Aunque no es del todo impenetrable porque los piratas informáticos han desarrollado algunas soluciones alternativas, 2FA ciertamente ofrece mucha más seguridad que simplemente requerir un nombre de usuario o una dirección de correo electrónico y una contraseña.

Ejemplos de autenticación de dos factores

Si es confuso definir los factores en 2FA como algo que tiene, algo que es o algo que sabe, podría ser útil ver algunos ejemplos del mundo real de autenticación de dos factores.

"Algo que eres" normalmente nos lleva al reino de la biometría, donde las computadoras usan un elemento de tu persona física (tu huella digital, rostro, voz o retina, por ejemplo) para probar tu identidad. Si ha comprado un teléfono en los últimos años, es probable que pueda acceder a él rápidamente después de escanear su rostro o huella digital, algo que habría parecido ciencia ficción hace un par de décadas. Existen dudas legítimas sobre la biometría (las bases de datos de datos físicos se pueden descifrar como cualquier otra lista de contraseñas), pero la naturaleza fácil de usar de la 2FA biométrica significa que está aquí para quedarse.

A continuación, podemos ver "algo que tienes". Uno de los creadores de este tipo de factor de seguridad fue RSA SecurID, un pequeño dispositivo con una pequeña pantalla que mostraba números aleatorios que cambiaban periódicamente. Lanzado en 1993, el dispositivo requiere que el usuario tenga una contraseña y un número de su token SecurID en cualquier momento para iniciar sesión. Hay otros dispositivos que llevan a cabo este tipo de 2FA, incluidas tarjetas inteligentes o una clave de seguridad física que se conecta a computadoras a través de USB o Bluetooth. Google los usa internamente.

Pero la mayoría de la gente no tiene un dispositivo especializado como ese, por lo que hay otro ejemplo de "algo que tienes" cuando se trata de 2FA: tu teléfono. Siempre que intente iniciar sesión en su sitio web y se envíe un código especial a su teléfono, eso es 2FA en acción. También hay aplicaciones que escanean códigos QR para demostrar su identidad.

Finalmente, "algo que usted sabe" puede referirse a una contraseña secundaria o una pregunta de seguridad basada en el conocimiento, como preguntar el apellido de soltera de su madre o el nombre de su mascota de la infancia. Algunos dirían que esto no es cierto 2FA, ya que cualquier pirata informático que tenga su información de inicio de sesión podría tener las respuestas a las preguntas de seguridad típicas con la misma facilidad.

Tipos comunes de 2FA

Con la autenticación de dos factores ganando un reconocimiento cada vez más generalizado como una necesidad de seguridad absoluta tanto para las personas como para las empresas, vale la pena analizar los tipos más comunes de 2FA:

2FA basado en mensajes de texto SMS y voz

Con el mensaje de texto SMS y la autenticación de dos factores basada en voz, los usuarios proporcionan números de teléfono en el momento del registro y cada vez que necesitan iniciar sesión en su cuenta, se genera un código de un solo uso y se envía al número de teléfono en el que se registraron. con (ya sea a través de un mensaje de texto o una llamada telefónica automática).

Cualquiera que haya pasado algún tiempo en Internet sabe que esta es una opción muy popular porque es fácil de usar y no se necesita hardware especial. Si bien cualquier forma de 2FA es mejor que nada, los expertos en seguridad advierten cada vez más contra esta forma de 2FA. El nivel de seguridad simplemente no es tan alto como con otras formas de 2FA, porque hay una variedad de soluciones que los piratas informáticos pueden usar para comprometer la seguridad de su cuenta.

Por ejemplo, los atacantes podrían hacer que los usuarios instalen una aplicación maliciosa en su teléfono que luego pueda leer y reenviar mensajes SMS. Otro exploit implica piratear el servicio celular para redirigir los mensajes SMS mediante el empleo de una variedad de métodos técnicos o mediante la ingeniería social.

¿Otras desventajas? A algunas personas les incomoda dar su número de teléfono a un sitio web, aplicación o plataforma. Y es fácil comprender su aprensión, ya que muchas empresas han hecho un mal uso de esta información con cosas como publicidad dirigida y seguimiento de conversiones. Y permitir el restablecimiento de contraseñas en función de un número de teléfono proporcionado para 2FA puede ser un problema grave de seguridad de contraseñas, porque los atacantes que usen la apropiación de números de teléfono podrían obtener acceso a su cuenta incluso si no tienen su contraseña.

SMS 2FA tampoco funcionará si su teléfono está inactivo o no puede conectarse a una red móvil. Esto puede ser un gran problema para las personas que viajan al extranjero.

Notificación push para 2FA

Cualquiera que esté profundamente metido en el ecosistema de Apple estaría familiarizado con este tipo de autenticación de dos factores gracias al método Trusted Devices de Apple. Este método envía un mensaje a los distintos dispositivos de un usuario cada vez que se intenta iniciar sesión en el nombre de ese usuario. El mensaje incluye la ubicación estimada del inicio de sesión según la dirección IP. Con sistemas como este método de Trusted Devices, el usuario decide si aprueba o rechaza el intento de inicio de sesión.

Pero para que Trusted Devices y otros sistemas de notificaciones push (Duo Push es otro ejemplo) funcionen, su dispositivo necesita una conexión de datos o de Internet.

Este método es un poco más conveniente que tener que lidiar con códigos QR. Además, debido a que estas alertas generalmente muestran la ubicación estimada del intento de inicio de sesión, y dado que muy pocos ataques de phishing se originan en la misma dirección IP que la víctima, este método puede ayudarlo a detectar un ataque de phishing en curso.

Tokens de software para 2FA / Authenticator App / TOTP 2FA

Esta forma de 2FA requiere que el usuario primero descargue e instale una aplicación de autenticación de dos factores en su teléfono o computadora de escritorio. Con cualquier sitio que sea compatible con la aplicación de autenticación, los usuarios pueden ingresar primero un nombre de usuario y contraseña antes de ir a la aplicación de autenticación para encontrar un código de acceso único generado por software y basado en el tiempo (también llamado TOTP o token de software) que necesitan. para completar su intento de inicio de sesión.

Google Authenticator, Microsoft Authenticator, Duo Mobile de Duo Security y FreeOTP son algunas de las aplicaciones mas populares para esto. La tecnología subyacente para este estilo de 2FA se llama Contraseña de un solo uso basada en el tiempo (TOTP).

Si un sitio ofrece este estilo de 2FA, revelará un código QR que contiene la clave secreta. Puede escanear ese código QR en su aplicación. El código se puede escanear varias veces y puede guardarlo en un lugar seguro o imprimirlo. Una vez que se escanea el código QR, su aplicación producirá un nuevo código de seis dígitos cada 30 segundos, y necesitará uno de esos códigos junto con su nombre de usuario y contraseña para iniciar sesión.

El beneficio de este estilo de autenticación de dos factores es que no necesita estar conectado a una red móvil. Si un pirata informático redirige su número de teléfono a su propio teléfono, aún no tendrá sus códigos QR. Pero la desventaja es que si inicia sesión con frecuencia en diferentes dispositivos, puede ser inconveniente desbloquear su teléfono, abrir una aplicación y escribir el código cada vez.

Tokens de hardware para 2FA

Quizás la forma más antigua de 2FA, los tokens de hardware producen un nuevo código numérico a intervalos regulares. Cuando un usuario desea acceder a una cuenta, solo necesita verificar el dispositivo (tienden a ser pequeños, como un llavero) e ingresar el código 2FA que se muestra en el sitio o la aplicación. Otras versiones de esta tecnología 2FA pueden transferir automáticamente un código de autenticación de dos factores cuando conecta la llave de seguridad a un puerto USB.

Por lo general, las empresas utilizan con más frecuencia la autenticación de dos factores por hardware, pero también se puede implementar en computadoras personales. Las grandes empresas tecnológicas y financieras están creando un estándar conocido como U2F, y ahora es posible utilizar un token de hardware U2F físico para proteger sus cuentas de Dropbox, Google y GitHub. Esta es solo una pequeña llave USB que coloca en su llavero. Cuando desee iniciar sesión en su cuenta desde una computadora nueva, inserte la llave USB y presione un botón en ella. Es tan fácil como eso, no se requieren códigos. Algún día, estos dispositivos deberían funcionar con NFC y Bluetooth para comunicarse con dispositivos móviles sin puertos USB.

Los beneficios de este método son que es seguro y no requiere conexión a Internet. ¿La baja? Es caro de configurar y mantener, y los dispositivos podrían desaparecer.

2FA biométrico

En las últimas dos décadas, la autenticación biométrica de dos factores ha pasado de ser algo que todavía parecía un sueño de ciencia ficción a ser tan omnipresente que probablemente no haya notado a cuántos de sus dispositivos puede acceder simplemente siendo usted.

En la verificación biométrica, el usuario se convierte en el token. El rostro, la huella digital, la retina o la voz de un usuario pueden convertirse en el token 2FA necesario para demostrar su identidad y obtener acceso a su cuenta.

Los ejemplos están por todas partes. El iPhone más nuevo está equipado con tecnología de escaneo facial y la mayoría de los otros teléfonos modernos utilizan ese o escaneo de huellas dactilares para permitir a los usuarios un acceso conveniente y rápido. De manera similar, muchas computadoras portátiles modernas solo necesitan ver su huella digital, y hay muchos otros dispositivos que pueden probar su identidad escaneando sus características físicas o su voz.

Este se considera el método 2FA más seguro y, en teoría, es el más fácil de usar, ya que todo lo que debe requerir es ser usted mismo. Dicho esto, estas tecnologías aún están mejorando y los sistemas a veces todavía tienen dificultades para confirmar lo que debería ser una coincidencia.

Los otros inconvenientes son que puede haber problemas de privacidad en torno al almacenamiento de los datos biométricos de un usuario. Y se necesitan dispositivos especiales como escáneres y cámaras para este método.

Otras formas de 2FA

Otro método común es 2FA por correo electrónico. La forma en que funciona es que se envía un mensaje automático a la dirección de correo electrónico registrada de un usuario cuando hay un intento de inicio de sesión. De manera similar a un SMS o una llamada telefónica, ese correo electrónico incluirá un código o simplemente un enlace que, al hacer clic, verificará que se trata de un intento de inicio de sesión legítimo.

Al igual que 2FA por teléfono o SMS, esto es fácil de implementar e intuitivo para los usuarios y funciona tanto en computadoras como en teléfonos. Pero a diferencia de las opciones 2FA de SMS y teléfono, el usuario deberá estar conectado a Internet para recibir su código o activar su enlace único.

Desafortunadamente, esta es la forma menos segura de 2FA y, como resultado, está perdiendo popularidad. La seguridad de la contraseña es un problema demasiado extendido para que esto sea efectivo; A pesar de años de advertencia, muchas personas usan contraseñas idénticas en muchas cuentas y dispositivos, y es posible o incluso probable que su información de inicio de sesión para la cuenta a la que intentan acceder y su dirección de correo electrónico sea idéntica.

Hay otros problemas. Es muy probable que el correo electrónico termine en una carpeta de correo no deseado y, si los piratas informáticos tienen la contraseña correcta para la cuenta en línea de alguien, es muy probable que también tengan su contraseña de correo electrónico.

Cómo obtener 2FA

La seguridad de su cuenta es vital, por lo que la mayoría de los sitios, aplicaciones y dispositivos ahora ofrecen alguna forma de autenticación de dos factores, aunque la forma de obtener 2FA varía según la plataforma, el dispositivo o el sitio web en cuestión.

Apple puede guiarlo a través del proceso de activación de la autenticación de dos factores para todos sus dispositivos, aunque la función se puede encontrar en Contraseña y seguridad en la configuración de un iPhone o Preferencias del sistema en una Mac. Google, Facebook, Amazon, Twitter, Reddit y muchos otros sitios populares ofrecen guías sobre cómo configurar la autenticación de dos factores en su cuenta.

Cómo habilitar 2FA

Para habilitar 2FA, puede ir a las preferencias del sistema o la configuración de todos sus dispositivos y cuentas en línea y activar la autenticación de dos factores cuando sea posible, o puede descargar e instalar una aplicación de autenticación.

Obtener una aplicación de autenticación (también conocida como aplicación de autenticación) es una forma de ser proactivo para hacerse cargo de su seguridad en línea. Una vez vinculada a sus cuentas, la aplicación de autenticación muestra un conjunto de códigos que cambian constantemente para utilizar cuando sea necesario, incluso sin una conexión a Internet. El líder en el ámbito de las aplicaciones de autenticación es Google Authenticator, mientras que otras opciones incluyen Twilio Authy, Duo Mobile de Duo Security y LastPass Authenticator. La mayoría de los administradores de contraseñas también ofrecen autenticación de dos factores de forma predeterminada.

Debe saber que la configuración de 2FA a veces puede interrumpir el acceso a algunos servicios más antiguos, lo que lo obliga a confiar en las contraseñas de las aplicaciones. Utilizadas por empresas como Facebook, Microsoft y Yahoo, las contraseñas de las aplicaciones se generan en el sitio principal para utilizarlas con una aplicación específica.

Recuerde esto cuando se asuste por lo difícil que suena todo esto: estar seguro no es fácil. Los malos cuentan con que seas negligente a la hora de protegerte. La implementación de la autenticación de dos factores significará que se tarda un poco más en iniciar sesión cada vez en un dispositivo nuevo, pero a la larga vale la pena para evitar robos graves, ya sea de su identidad, datos o dinero.

El futuro de la autenticación de dos factores

Aunque 2FA aumenta absolutamente la seguridad en general, el futuro de la autenticación de dos factores debe basarse en la creación de sistemas aún más seguros que estén libres de los puntos débiles que todavía existen en la actualidad.

Cuando 2FA ha fallado

No tenemos que buscar muy lejos ejemplos de 2FA comprometidos. Al director ejecutivo de Twitter, Jack Dorsey, le piratearon su cuenta en agosto de 2019, y los mensajes groseros publicados en su cuenta no eran un buen anuncio para su sistema de seguridad 2FA. Un mes después, hubo informes de que 23 millones de influencers de YouTube fueron pirateados a pesar de emplear 2FA porque los piratas informáticos utilizaron un kit de herramientas de proxy inverso para interceptar códigos de autenticación de dos factores enviados mediante SMS. El intercambio de criptomonedas Binance tuvo su sistema 2FA comprometido y perdió decenas de millones.

Uno de los métodos más fáciles y comunes de piratear un sistema 2FA es realizar un intercambio de simulación. En este escenario, un pirata informático podría emplear cualquier número de métodos para cambiar los números de teléfono de las víctimas de modo que cualquier mensaje o llamada telefónica posterior, por ejemplo, uno con un código 2FA, se redirija al nuevo teléfono. Esa es una de las razones por las que los expertos instan cada vez más a alejarse de los sistemas 2FA basados ​​en SMS y llamadas telefónicas.

También se sabe que algunos sistemas de autenticación de dos factores están comprometidos por malware. Incluso una aplicación de autenticación tan utilizada como Google Authenticator no es perfecta: en febrero de 2020, se descubrió que un tipo de malware basado en Android había robado códigos 2FA. El malware TrickBot es otra solución a la autenticación de dos factores, que intercepta los códigos de un solo uso utilizados por las aplicaciones bancarias, enviados por SMS y notificaciones automáticas.

¿Hay otras formas en que la seguridad 2FA es actualmente vulnerable? 

En escenarios de ingeniería social, un pirata informático podría ponerse en contacto con un objetivo que se hace pasar por, por ejemplo, su banco, antes de pedir confirmar la identidad de la víctima citando el código seguro que se le acaba de enviar.

Los métodos biométricos solo mejorarán

Por esas razones y más, muchos expertos en seguridad creen que el futuro de 2FA radica en la expansión de la seguridad biométrica.

En muy poco tiempo, la seguridad biométrica ha pasado de ser una fantasía futurista a convertirse en una parte omnipresente de nuestras vidas. Los ejemplos de 2FA biométricos están literalmente a su alrededor. Está utilizando la autenticación biométrica de dos factores cada vez que su banco verifica su identificación a través de su voz, su teléfono lo conecta tan pronto como escanea su rostro y puede iniciar sesión en su computadora portátil con solo presionar la punta de un dedo.

En el futuro, la 2FA biométrica tendrá que ser aún mejor, más sensible y transparente. 

Los sistemas de autenticación biométrica de dos factores han demostrado ser menos que infalibles. Como solo un ejemplo, ha habido casos en que la tecnología de reconocimiento facial ha sido engañada por representaciones en 3D de fotos de Facebook.

Pero dado que el 2FA biométrico es omnipresente, también es cierto que todos los que lo han usado han lidiado en algún momento con falsos negativos y posiblemente incluso con falsos positivos. Los falsos positivos ocurren cuando se establece una coincidencia donde no la hay, lo que ocurre con mayor frecuencia con el reconocimiento facial. Los falsos negativos ocurren cuando no se logra una coincidencia a pesar de ser cierta. Esto es especialmente molesto con los escáneres de huellas dactilares, donde la más mínima humedad en un dedo puede causar estragos. Y muchas personas, por diversas razones, simplemente no tienen huellas dactilares fáciles de leer.

Gradualmente, los dispositivos inteligentes se volverán cada vez más sofisticados y la autenticación biométrica será más fluida y rápida. Las cámaras obtendrán cada vez más alta resolución, y la tecnología infrarroja también está en algún lugar en el horizonte. Eventualmente, espere ver un mayor enfoque en el escaneo del iris, considerado una de las formas más seguras de autenticación de identidad.

Bases de datos y autenticación multifactor

Si la autenticación de dos factores le parece un inconveniente, es posible que no sea una buena noticia que el futuro incluya un enfoque cada vez mayor en la autenticación de múltiples factores. La combinación de tres (o más) niveles de autenticación con algún tipo de biometría proporcionaría un nivel sólido de seguridad que la simple 2FA no podría. Es probable que las organizaciones, donde los sistemas contienen información confidencial, ya estén empleando la autenticación multifactor, y muchas más la adoptarán pronto.

La forma en que esas organizaciones almacenan esa información es otra área que probablemente evolucionará con el tiempo. Muchos expertos en seguridad creen que cualquier método de autenticación basado en dispositivos es, en última instancia, insuficiente. En su lugar, recomiendan que las organizaciones consideren almacenar y autenticar de forma segura las identidades en una base de datos centralizada. Puede que eso no sea posible todavía para muchas empresas, pero el auge de la autenticación biométrica ha demostrado cuán rápido estas tecnologías pueden evolucionar y convertirse en una gran parte de nuestra vida cotidiana.

Fuente: BrainStation