Autenticación de doble factor (Sesión 2)

En una época en la que la filtración de datos es muy frecuente, proteger sus cuentas en línea es asunto de todos. Y entre los métodos más fáciles de utilizar en el día a día, la autenticación de dos factores sigue siendo uno de los más eficaces.

Aunque el término no le suene, lo más probable es que ya lo utilice en menor medida. ¿Se ha dado cuenta de que, al comprar por Internet, su banco le envía un código único por SMS para confirmar su compra? Este es un ejemplo real de autenticación de dos factores.

Autenticación Doble Factor - A2F - 2FA - MFA

¿Qué es la autenticación de doble factores?

Como su nombre indica, A2F es un método que añade una capa de protección a su cuenta. Además del tradicional emparejamiento de nombre de usuario y contraseña, recibirá un código único que - lógicamente - sólo usted puede tener.

A menudo, los servicios que ofrecen habilitar la autenticación de dos factores implicarán la obtención de un código de un solo uso enviado por SMS a su número de teléfono. Pero en realidad hay una multitud de formas de reforzar la autenticación de sus diferentes cuentas.

¿Cómo puedo saber si un sitio ofrece autenticación de dos factores?

La forma más fácil de averiguarlo es comprobar manualmente la configuración de cada sitio web para ver si la opción está disponible.

Afortunadamente, algunas almas bondadosas han tenido la buena idea de reunir todos los sitios que ofrecen A2F en https://2fa.directory.

¿Cuáles son los métodos de autenticación de dos factores más eficaces?

Como ya se ha dicho, la forma más fácil de aprovechar las ventajas de la A2F es utilizar su número de teléfono para validar su acceso a una cuenta en línea. Pero algunos de los sitios más sofisticados (sobre todo Facebook y Google) permiten optar por métodos de aprobación de una notificación.

Google, por ejemplo, permite utilizar otro dispositivo en el que ya se ha iniciado la sesión para validar el inicio de sesión en su servicio. Por ejemplo, cuando intentes acceder a tu cuenta de Google desde un ordenador nuevo, se te pedirá que utilices tu smartphone, que mostrará automáticamente una solicitud de autenticación a la que sólo tendrás que acceder para iniciar la sesión.

Facebook utiliza un método similar al de Google para validar la conexión. Si has activado el A2F en tu cuenta, cada nueva conexión con un dispositivo desconocido te enviará una notificación en tu smartphone. Esto le ofrecerá la opción de permitir o denegar la conexión al nuevo dispositivo con sólo pulsar el botón correspondiente.

Hoy en día, hay muchas aplicaciones Authenticator en el mercado. La mayoría de los GAFAM (Google - Apple - Meta - Amazon - Microsoft) tienen su propia solución (¡e incluso Blizzard!), que obviamente es compatible con cualquier cuenta que soporte la tecnología. Pero existen muchas alternativas de código abierto, como la muy buena LastPass, FreeOTP, Keepass2Android u Open Authenticator.

El caso especial de las claves U2F

La protección de las cuentas en línea mediante una clave U2F (Universal 2nd Factor) está empezando a ganar terreno, y es especialmente alentada por los especialistas en seguridad informática.

El principio es sencillo: En lugar de un código enviado por SMS o una serie de números generados por un autentificador, la autentificación de una cuenta en línea se realiza mediante una llave USB especial.

Esta llave cuesta entre 25 y 70 euros, según la marca y el proceso de fabricación. En cualquier caso: tenga cuidado de elegir una clave certificada por la FIDO.

Al igual que con la autenticación de dos factores, puede encontrar todos los sitios que aceptan claves de seguridad en un sitio : https://2fa.directory
Los servicios que ofrecen autenticación dual con claves U2F se pueden identificar por el logotipo de la clave en la columna "Hardware Token".

¿Cómo activar la autenticación de doble factores?

La mayoría de las veces, los editores de los sitios web en los que crea una cuenta le ofrecerán asegurar su perfil con A2F. Si no es el caso, tendrás que ir manualmente a la configuración de tu cuenta para comprobar que la opción existe.

Una vez identificada la opción, sólo hay que seguir los diferentes pasos, y la mayoría de las veces, introducir el número de móvil para empezar a recibir el SMS de validación de la conexión o el escaneo de un QR-Code para iniciar el servicio en la herramienta Authenticator.
A continuación, tendrá que introducir el código temporal proporcionado para iniciar el servicio.

En el caso de utilizar las herramientas de la Universidad (VPN GlobalProtect, Office 365, Sophos, etc.) el departamento del STIC activa estos servicios de seguridad para todos desde el inicio del año academico 2023, con el objetivo de reforzar la seguridad de su información y su privacidad.

No olvides realizar los cambios de numero de su teléfono en TODOS los sitios web en los que hayas iniciado la seguridad de doble factor.

Tambien, cuando cambie su teléfono móvil, no olvide exportar su cuenta en las opciones de la aplicación Authenticator.