Autenticación multifactor (MFA)

Qué es la autenticación multifactor en palabras sencillas

La autenticación multifactor (MFA, por sus siglas en inglés) es un método de verificación de identidad en el que el inicio de sesión en un sistema requiere la confirmación de distintas categorías de protección, y no solo el inicio de sesión y la contraseña. Es como dos cerraduras en la puerta: aunque el intruso coja la llave de una, la segunda lo detendrá.

El ejemplo clásico es sacar efectivo del cajero: para recibir el dinero hay que insertar la tarjeta física (algo que usted tiene) y marcar el PIN (algo que usted conoce). En el mundo digital la MFA funciona según el mismo principio.

Según las estadísticas de Microsoft, el uso de la MFA bloquea hasta el 99,9 % de los ataques automatizados y reduce mucho el riesgo de compromiso de las cuentas. A pesar de esto, solo alrededor del 30 % de los usuarios activan la autenticación de dos factores en sus cuentas. Lea sobre otros métodos de protección en el artículo Seguridad de la información.

Tres factores principales de autenticación

Para la autenticación se usan tres tipos de factores, que se pueden combinar para lograr la protección multifactorial:

• Conocimiento (lo que usted sabe): contraseña, PIN, respuesta a la pregunta secreta, palabra código. Es el más común, pero también el más vulnerable: las contraseñas se adivinan, se roban o se pueden espiar.
• Posesión (lo que usted tiene): el código de un solo uso por SMS, el push a su smartphone, la aplicación de autenticación (Google Authenticator, Yandex Key), la llave USB física (YubiKey, Rutoken) o la tarjeta inteligente. Esto sube en gran medida la seguridad, pues el atacante debe apoderarse físicamente del dispositivo.
• Característica intrínseca (lo que es): datos biométricos: huella dactilar, escaneo del rostro (Face ID), escaneo de retina, la voz o los patrones de comportamiento. El factor más difícil de falsificar.

Cómo se diferencia la MFA de la 2FA

Estos términos se confunden con frecuencia, pero entre ellos hay una diferencia esencial:

• 2FA (autenticación en dos factores): usa exactamente dos factores de distintas categorías (por ejemplo, la contraseña + el código SMS). Es un caso particular de la MFA; el más habitual en la práctica.
• MFA (autenticación multifactor): usa dos o más factores (por ejemplo, la contraseña + la huella + el push). La MFA puede incluir tres o más factores, lo que brinda el nivel máximo de seguridad.

Lea sobre la diferencia entre la autenticación y la autorización en el artículo Autenticación.

Cómo funciona la MFA en la práctica

El proceso típico de la autenticación multifactor al entrar en una cuenta es el siguiente:

1. Introduce el inicio de sesión y la contraseña (factor n.º 1: conocimiento).
2. El sistema envía un código al teléfono por SMS, un push o genera el código en la aplicación de autenticación (factor n.º 2: posesión).
3. Introduce el código recibido o confirma la entrada en la aplicación.
4. El acceso se permite solo si ambas etapas han dado el resultado correcto. Si el intruso robó la contraseña, pero no tiene acceso al teléfono, no podrá entrar.

Lea sobre la configuración de la MFA en el artículo OAuth.

Métodos de aplicación de la MFA

Existen varios métodos de aplicación: cada uno tiene pros y contras:

• SMS y llamadas: la vía más simple y habitual. El código llega por SMS o llamada. Inconveniente: la vulnerabilidad ante el intercambio de SIM (cuando el atacante reemite la tarjeta SIM) y la interceptación de los mensajes.
• Aplicaciones de autenticación: Google Authenticator, Microsoft Authenticator, Authy, Yandex Key. Generan códigos en el dispositivo y no necesitan internet. Más seguras que el SMS, pues los códigos no circulan por la red.
• Notificaciones push: la aplicación envía la solicitud de confirmación de la entrada; basta con pulsar «Sí» en el smartphone. Cómodo y rápido, aunque exige internet en el dispositivo.
• Llaves de hardware (U2F): dispositivos físicos (YubiKey, Rutoken). Es la vía más fiable: la llave se conecta físicamente a un puerto USB o por NFC. Resistente a los phishing y ataques remotos. Se usa en Google y en otras grandes empresas.
• Biometría: huella, Face ID, escáner del iris, biometría de la voz. Es cómodo y seguro, pero exige el sensor de biometría en el dispositivo.

Lea sobre la seguridad biométrica en el artículo Biometría.

Riesgos y limitaciones de la MFA

A pesar de la gran eficacia, la MFA tiene limitaciones que hay que tener presente:

• Dependencia de los dispositivos: si pierde el teléfono con el autenticador o la tarjeta SIM, puede perder el acceso. Por eso hay que guardar los códigos de recuperación que se emiten al configurar la MFA.
• Intercambio de SIM: el atacante puede reemitir la tarjeta SIM a través del operador e interceptar los SMS con códigos; por eso el SMS se considera el método menos fiable.
• Phishing: los sitios falsos pueden imitar la solicitud del segundo factor: por ejemplo, crear una página de entrada que pida el código SMS y lo intercepte. El uso de llaves de hardware (U2F) protege contra esto.
• Incomodidad: se requiere un tiempo y acciones adicionales en cada entrada; no obstante, esta pequeña molestia compensa con el aumento considerable de la seguridad.

Lea sobre la higiene digital en el artículo Huella digital.