Skip to main content

¿Sirve realmente la autenticación de dos factores o no tanto?

Cuando se introdujo por primera vez la autenticación de dos factores, revolucionó la seguridad del dispositivo y ayudó a que el robo de identidad fuera mucho más difícil, a un ligero costo de pequeños inconvenientes agregados a los inicios de sesión.

Pero no es perfecto, ni ha resuelto todos nuestros problemas de piratería y robo de datos. Algunas noticias recientes han proporcionado más contexto sobre cómo los hackers han estado eludiendo la autenticación de dos factores y erosionando parte de nuestra confianza en ella.

Autenticación de dos factores a través de una computadora portátil.

¿Qué es exactamente la autenticación de dos factores?

La autenticación de dos factores agrega una capa adicional de seguridad al proceso de inicio de sesión para dispositivos y servicios. Anteriormente, los inicios de sesión tenían un solo factor para la autenticación, por lo general, una contraseña o un inicio de sesión biométrico como un escaneo de huellas dactilares o Face ID, ocasionalmente con la adición de preguntas de seguridad. Eso proporcionó cierta seguridad, pero estaba lejos de ser perfecto, especialmente con contraseñas débiles o contraseñas autocompletadas (o si las bases de datos de inicio de sesión son pirateadas y esa información comienza a aparecer en la web oscura).

La autenticación de dos factores aborda estos problemas agregando un segundo factor, otra cosa que una persona tiene que hacer para garantizar que realmente son ellos y que tienen autoridad para acceder. Por lo general, eso significa que se le envía un código a través de otro canal, como recibir un mensaje de texto o correo electrónico del servicio, que luego debe ingresar.

Algunos usan códigos sensibles al tiempo (TOTP, Time-Based One Time Password), y otros usan códigos únicos asociados con un dispositivo específico (HOTP, HMAC-based One Time Password). Ciertas versiones comerciales pueden incluso usar claves físicas adicionales que debe tener a mano.

La función de seguridad se ha vuelto tan común que probablemente esté acostumbrado a ver mensajes como «Le hemos enviado un correo electrónico con un código seguro para ingresar, verifique su filtro de spam si no lo ha recibido». Es más común para los dispositivos nuevos, y aunque lleva un poco de tiempo, es un gran salto en la seguridad en comparación con los métodos de un solo factor. Pero hay algunos defectos.

Eso suena bastante seguro. ¿Cuál es el problema?

Recientemente salió un informe de la compañía de ciberseguridad Sophos que detalló una nueva y sorprendente forma en que los piratas informáticos se saltan la autenticación de dos factores: las cookies. Los malos actores han sido «robo de cookies», lo que les da acceso a prácticamente cualquier tipo de navegador, servicio web, cuenta de correo electrónico o incluso archivo.

¿Cómo obtienen estos ciberdelincuentes estas cookies? Bueno, Sophos señala que la botnet Emotet es una de esas piezas de malware que roban cookies y que se dirige a los datos en los navegadores Google Chrome. Las personas también pueden comprar cookies robadas a través de mercados clandestinos, que se hizo famoso en el reciente caso de EA, donde los detalles de inicio de sesión terminaron en un mercado llamado Genesis. El resultado fueron 780 gigabytes de datos robados que se utilizaron para tratar de extorsionar a la empresa.

Si bien ese es un caso de alto perfil, el método subyacente está ahí fuera, y muestra que la autenticación de dos factores está lejos de ser una bala de plata. Más allá del robo de galletas, hay una serie de otros problemas que se han identificado a lo largo de los años:

  • Si un hacker se ha apoderado de su nombre de usuario o contraseña para un servicio, es posible que tenga acceso a su correo electrónico (especialmente si usa la misma contraseña) o número de teléfono. Esto es especialmente problemático para la autenticación de dos factores basada en SMS / texto, porque los números de teléfono son fáciles de encontrar y se pueden usar para copiar su teléfono (entre otros trucos) y recibir el código de texto. Se necesita más trabajo, pero un hacker decidido todavía tiene un camino claro hacia adelante.
  • Las aplicaciones separadas para la autenticación de dos factores, como Google Auth o Duo, son mucho más seguras, pero las tasas de adopción son muy bajas. Las personas tienden a no querer descargar otra aplicación solo por motivos de seguridad para un solo servicio, y a las organizaciones les resulta mucho más fácil simplemente preguntar «¿Correo electrónico o texto?» en lugar de requerir que los clientes descarguen una aplicación de terceros. En otras palabras, los mejores tipos de autenticación de dos factores no se están utilizando realmente.
  • A veces, las contraseñas son demasiado fáciles de restablecer. Los ladrones de identidad pueden recopilar suficiente información sobre una cuenta para llamar al servicio de atención al cliente o encontrar otras formas de solicitar una nueva contraseña. Esto a menudo elude cualquier autenticación de dos factores involucrada y, cuando funciona, permite a los ladrones el acceso directo a la cuenta.
  • Las formas más débiles de autenticación de dos factores ofrecen poca protección contra los estados-nación. Los gobiernos tienen herramientas que pueden contrarrestar fácilmente la autenticación de dos factores, incluido el monitoreo de mensajes SMS, la coerción de los operadores inalámbricos o la interceptación de códigos de autenticación de otras maneras. Eso no es una buena noticia para aquellos que quieren formas de mantener sus datos privados de regímenes más totalitarios.
  • Muchos esquemas de robo de datos evitan por completo la autenticación de dos factores al centrarse en engañar a los humanos. Basta con mirar todos los intentos de phishing que pretenden ser de bancos, agencias gubernamentales, proveedores de Internet, etc., pidiendo información importante de la cuenta. Estos mensajes de phishing pueden parecer muy reales y pueden involucrar algo como: «Necesitamos su código de autenticación de nuestra parte para que también podamos confirmar que usted es el titular de la cuenta» u otros trucos para obtener códigos.

¿Debo seguir usando la autenticación de dos factores?

Absolutamente. De hecho, debe revisar sus servicios y dispositivos y habilitar la autenticación de dos factores donde esté disponible. Ofrece una seguridad significativamente mejor contra problemas como el robo de identidad que un simple nombre de usuario y contraseña.

Incluso la autenticación de dos factores basada en SMS es mucho mejor que ninguna. De hecho, el Instituto Nacional de Estándares y Tecnología una vez recomendó no usar SMS en la autenticación de dos factores, pero luego lo revirtió al año siguiente porque, a pesar de los defectos, todavía valía la pena tenerlo.

Cuando sea posible, elija un método de autenticación que no esté conectado a los mensajes de texto y tendrá una mejor forma de seguridad. Además, mantenga sus contraseñas seguras y use un administrador de contraseñas para generarlas para iniciar sesión si puede.

La configuración de seguridad y privacidad se abre en una MacBook.

¿Cómo se puede mejorar la autenticación de dos factores?

Alejarse de la autenticación basada en SMS es el gran proyecto actual. Es posible que la autenticación de dos factores haga la transición a un puñado de aplicaciones de terceros como Duo, que eliminan muchas de las debilidades asociadas con el proceso. Y más campos de alto riesgo pasarán a MFA, o autenticación multifactor, que agrega un tercer requisito, como una huella digital o preguntas de seguridad adicionales.

Pero la mejor manera de eliminar los problemas con la autenticación de dos factores es introducir un aspecto físico basado en hardware. Las empresas y las agencias gubernamentales ya están empezando a exigir eso para ciertos niveles de acceso. En un futuro cercano, existe una buena posibilidad de que todos tengamos tarjetas de autenticación personalizadas en nuestras billeteras, listas para deslizar nuestros dispositivos al iniciar sesión en los servicios. Puede sonar extraño ahora, pero con el fuerte aumento de los ataques de ciberseguridad, podría terminar siendo la solución más elegante.

Recomendaciones del editor

Topics
Diego Bastarrica
Diego Bastarrica es periodista y docente de la Universidad Diego Portales de Chile. Especialista en redes sociales…
4 características donde Windows le gana todavía a los MacBooks
caracteristicas windows le gana a macbook hello

La línea de MacBook de Apple se ha disparado en los últimos años, con sus chipsets de silicio que ofrecen un rendimiento y una eficiencia líderes en su clase. La MacBook Pro, en particular, es más rápida que muchas computadoras portátiles con Windows, más duradera que la mayoría y tiene una excelente pantalla mini-LED. Hay muchas buenas razones para elegir una MacBook en lugar de una computadora portátil con Windows en el mercado actual.

Pero no todo está perdido para la plataforma Windows. Incluso aparte de las próximas computadoras portátiles Snapdragon X Elite que parecen ser competitivas, todavía hay algunas características más básicas que solo puede obtener en una computadora portátil con Windows en este momento. Estos son los cuatro a los que vuelvo una y otra vez.
Windows Hello
Mark Coppock/DT
Las MacBooks modernas tienen Touch ID, que utiliza un lector de huellas dactilares para permitir el inicio de sesión y la autenticación de cosas como la autorización de compras y la introducción de credenciales en Safari. Funciona bien y es muy seguro.

Leer más
Esta aplicación de $ 7 duplicó el rendimiento de mi PC para juegos, en serio
aplicacion lossless scaling duplico rendimiento pc juegos

El periodista de DT en inglés, Jacob Roach , estuvo revisando una aplicación que va a deslumbrar a los jugadores de PC.

Sé que suena demasiado bueno para ser verdad, pero hay una aplicación de $ 7 que duplicará su rendimiento en cualquier juego, con cualquier tarjeta gráfica. Hay algunas advertencias, como probablemente sospeches, pero la aplicación funciona sorprendentemente bien teniendo en cuenta lo que hace, y no he dejado de usarla desde que la descargué en Steam.

Leer más
Ya no te podrás enamorar de ChatGPT: eliminan voz de Scarlett Johansson
suspenden ingeniero google chatbot se vuelve sensible pel  cula her

OpenAI está reconociendo su error, o al menos así lo tildan ellos, una posibilidad de que algún usuario como Joaquin Phoenix en la película Her se termine enamorando de una IA.

Por eso, la compañía acaba de anunciar que retirará su voz similar a la de Scarlett Johansson de ChatGPT, llamada Sky.
"Creemos que las voces de IA no deben imitar deliberadamente la voz distintiva de una celebridad: la voz de Sky no es una imitación de Scarlett Johansson, sino que pertenece a una actriz profesional diferente que usa su propia voz natural", escribió OpenAI esta mañana.
La directora de tecnología de OpenAI, Mira Murati, negó que la imitación de Johansson fuera intencional en una entrevista con The Verge. Incluso si no se hacía referencia directa a la voz de Johansson, el CEO de OpenAI, Sam Altman, aparentemente ya estaba al tanto de las similitudes, publicando el mensaje de una sola palabra "Her" en X después del evento.

Leer más