Skip to main content

¿Sirve realmente la autenticación de dos factores o no tanto?

Cuando se introdujo por primera vez la autenticación de dos factores, revolucionó la seguridad del dispositivo y ayudó a que el robo de identidad fuera mucho más difícil, a un ligero costo de pequeños inconvenientes agregados a los inicios de sesión.

Pero no es perfecto, ni ha resuelto todos nuestros problemas de piratería y robo de datos. Algunas noticias recientes han proporcionado más contexto sobre cómo los hackers han estado eludiendo la autenticación de dos factores y erosionando parte de nuestra confianza en ella.

Autenticación de dos factores a través de una computadora portátil.

¿Qué es exactamente la autenticación de dos factores?

La autenticación de dos factores agrega una capa adicional de seguridad al proceso de inicio de sesión para dispositivos y servicios. Anteriormente, los inicios de sesión tenían un solo factor para la autenticación, por lo general, una contraseña o un inicio de sesión biométrico como un escaneo de huellas dactilares o Face ID, ocasionalmente con la adición de preguntas de seguridad. Eso proporcionó cierta seguridad, pero estaba lejos de ser perfecto, especialmente con contraseñas débiles o contraseñas autocompletadas (o si las bases de datos de inicio de sesión son pirateadas y esa información comienza a aparecer en la web oscura).

La autenticación de dos factores aborda estos problemas agregando un segundo factor, otra cosa que una persona tiene que hacer para garantizar que realmente son ellos y que tienen autoridad para acceder. Por lo general, eso significa que se le envía un código a través de otro canal, como recibir un mensaje de texto o correo electrónico del servicio, que luego debe ingresar.

Algunos usan códigos sensibles al tiempo (TOTP, Time-Based One Time Password), y otros usan códigos únicos asociados con un dispositivo específico (HOTP, HMAC-based One Time Password). Ciertas versiones comerciales pueden incluso usar claves físicas adicionales que debe tener a mano.

La función de seguridad se ha vuelto tan común que probablemente esté acostumbrado a ver mensajes como «Le hemos enviado un correo electrónico con un código seguro para ingresar, verifique su filtro de spam si no lo ha recibido». Es más común para los dispositivos nuevos, y aunque lleva un poco de tiempo, es un gran salto en la seguridad en comparación con los métodos de un solo factor. Pero hay algunos defectos.

Eso suena bastante seguro. ¿Cuál es el problema?

Recientemente salió un informe de la compañía de ciberseguridad Sophos que detalló una nueva y sorprendente forma en que los piratas informáticos se saltan la autenticación de dos factores: las cookies. Los malos actores han sido «robo de cookies», lo que les da acceso a prácticamente cualquier tipo de navegador, servicio web, cuenta de correo electrónico o incluso archivo.

¿Cómo obtienen estos ciberdelincuentes estas cookies? Bueno, Sophos señala que la botnet Emotet es una de esas piezas de malware que roban cookies y que se dirige a los datos en los navegadores Google Chrome. Las personas también pueden comprar cookies robadas a través de mercados clandestinos, que se hizo famoso en el reciente caso de EA, donde los detalles de inicio de sesión terminaron en un mercado llamado Genesis. El resultado fueron 780 gigabytes de datos robados que se utilizaron para tratar de extorsionar a la empresa.

Si bien ese es un caso de alto perfil, el método subyacente está ahí fuera, y muestra que la autenticación de dos factores está lejos de ser una bala de plata. Más allá del robo de galletas, hay una serie de otros problemas que se han identificado a lo largo de los años:

  • Si un hacker se ha apoderado de su nombre de usuario o contraseña para un servicio, es posible que tenga acceso a su correo electrónico (especialmente si usa la misma contraseña) o número de teléfono. Esto es especialmente problemático para la autenticación de dos factores basada en SMS / texto, porque los números de teléfono son fáciles de encontrar y se pueden usar para copiar su teléfono (entre otros trucos) y recibir el código de texto. Se necesita más trabajo, pero un hacker decidido todavía tiene un camino claro hacia adelante.
  • Las aplicaciones separadas para la autenticación de dos factores, como Google Auth o Duo, son mucho más seguras, pero las tasas de adopción son muy bajas. Las personas tienden a no querer descargar otra aplicación solo por motivos de seguridad para un solo servicio, y a las organizaciones les resulta mucho más fácil simplemente preguntar «¿Correo electrónico o texto?» en lugar de requerir que los clientes descarguen una aplicación de terceros. En otras palabras, los mejores tipos de autenticación de dos factores no se están utilizando realmente.
  • A veces, las contraseñas son demasiado fáciles de restablecer. Los ladrones de identidad pueden recopilar suficiente información sobre una cuenta para llamar al servicio de atención al cliente o encontrar otras formas de solicitar una nueva contraseña. Esto a menudo elude cualquier autenticación de dos factores involucrada y, cuando funciona, permite a los ladrones el acceso directo a la cuenta.
  • Las formas más débiles de autenticación de dos factores ofrecen poca protección contra los estados-nación. Los gobiernos tienen herramientas que pueden contrarrestar fácilmente la autenticación de dos factores, incluido el monitoreo de mensajes SMS, la coerción de los operadores inalámbricos o la interceptación de códigos de autenticación de otras maneras. Eso no es una buena noticia para aquellos que quieren formas de mantener sus datos privados de regímenes más totalitarios.
  • Muchos esquemas de robo de datos evitan por completo la autenticación de dos factores al centrarse en engañar a los humanos. Basta con mirar todos los intentos de phishing que pretenden ser de bancos, agencias gubernamentales, proveedores de Internet, etc., pidiendo información importante de la cuenta. Estos mensajes de phishing pueden parecer muy reales y pueden involucrar algo como: «Necesitamos su código de autenticación de nuestra parte para que también podamos confirmar que usted es el titular de la cuenta» u otros trucos para obtener códigos.

¿Debo seguir usando la autenticación de dos factores?

Absolutamente. De hecho, debe revisar sus servicios y dispositivos y habilitar la autenticación de dos factores donde esté disponible. Ofrece una seguridad significativamente mejor contra problemas como el robo de identidad que un simple nombre de usuario y contraseña.

Incluso la autenticación de dos factores basada en SMS es mucho mejor que ninguna. De hecho, el Instituto Nacional de Estándares y Tecnología una vez recomendó no usar SMS en la autenticación de dos factores, pero luego lo revirtió al año siguiente porque, a pesar de los defectos, todavía valía la pena tenerlo.

Cuando sea posible, elija un método de autenticación que no esté conectado a los mensajes de texto y tendrá una mejor forma de seguridad. Además, mantenga sus contraseñas seguras y use un administrador de contraseñas para generarlas para iniciar sesión si puede.

La configuración de seguridad y privacidad se abre en una MacBook.

¿Cómo se puede mejorar la autenticación de dos factores?

Alejarse de la autenticación basada en SMS es el gran proyecto actual. Es posible que la autenticación de dos factores haga la transición a un puñado de aplicaciones de terceros como Duo, que eliminan muchas de las debilidades asociadas con el proceso. Y más campos de alto riesgo pasarán a MFA, o autenticación multifactor, que agrega un tercer requisito, como una huella digital o preguntas de seguridad adicionales.

Pero la mejor manera de eliminar los problemas con la autenticación de dos factores es introducir un aspecto físico basado en hardware. Las empresas y las agencias gubernamentales ya están empezando a exigir eso para ciertos niveles de acceso. En un futuro cercano, existe una buena posibilidad de que todos tengamos tarjetas de autenticación personalizadas en nuestras billeteras, listas para deslizar nuestros dispositivos al iniciar sesión en los servicios. Puede sonar extraño ahora, pero con el fuerte aumento de los ataques de ciberseguridad, podría terminar siendo la solución más elegante.

Recomendaciones del editor

Topics
Diego Bastarrica
Diego Bastarrica es periodista y docente de la Universidad Diego Portales de Chile. Especialista en redes sociales…
Si tiene una placa base Gigabyte, su PC podría descargar malware
placa base gigabyte pc podria descargar malware

Otro fabricante de placas base parece estar en problemas, o más bien, las personas que poseen esas placas base podrían estarlo. Según los investigadores de seguridad, innumerables placas Gigabyte podrían ser vulnerables a ciberataques peligrosos.

Si desea estar más seguro, hay un par de cosas que puede hacer para proteger su PC. Esto es lo que sabemos.

Leer más
WWDC 2023: a qué hora ver y cómo seguir el evento de Apple
wwdc 2023 como cuando ver donde

¡Y llegó finalmente el día! La Conferencia Mundial de Desarrolladores de Apple (WWDC, por sus siglas en inglés) es la cita obligada para conocer las últimas novedades de software de la compañía, y este año las expectativas son enormes, ya que la casi segura presentación de las primeras gafas de realidad virtual de Apple (¿se llamarán Reality Pro?) tienen a todos los fanáticos de Apple con mucha ansiedad.

Para que no te la pierdas, te damos todos los detalles de la misma a continuación, desde cómo verla hasta lo que puedes esperar. La fecha oficial pactada para la reunión dedicada a los desarrolladores es del 5 al 9 de junio próximos, con la presentación estelar en el primer día.

Leer más
Zoom ahora te hará un resumen IA, por si te perdiste una reunión
zoom resumen ia reunion

Eres de aquellos que llegan tardes a las reuniones de Zoom, o no tienes tiempo para conectarte a una, lo cierto es que ahora la aplicación de videollamadas estrena una función que permite por medio de IA hacer un resumen de todo lo conversado.

Con Zoom IQ, el asistente impulsado por IA de la aplicación, los anfitriones ahora pueden generar resúmenes de reuniones y enviarlos a los usuarios a través de Zoom Team Chat o correo electrónico, todo sin grabar realmente las reuniones.

Leer más