autenticación multifactor

La autenticación multifactor ( MFA), también conocida como autenticación de dos factores ( 2FA ), es un método de autenticación electrónica en el que se concede acceso a un sitio web o aplicación a un usuario únicamente tras presentar correctamente dos o más tipos de pruebas (o factores ) distintos a un mecanismo de autenticación . La MFA protege los datos personales —que pueden incluir la identificación personal o los activos financieros— del acceso de terceros no autorizados que podrían haber descubierto, por ejemplo, una sola contraseña .

El uso de la autenticación multifactor (MFA) ha aumentado en los últimos años. Los problemas de seguridad que pueden provocar la elusión de la MFA son los ataques de fatiga , el phishing y el intercambio de tarjetas SIM . ^{[ 1 ]}

Las cuentas con MFA habilitada tienen una probabilidad significativamente menor de ser comprometidas. ^{[ 2 ]}

La autenticación se produce cuando alguien intenta iniciar sesión en un recurso informático (como una red informática , un dispositivo o una aplicación). El recurso requiere que el usuario proporcione la identidad con la que se le conoce, junto con pruebas de la autenticidad de dicha identidad. La autenticación simple requiere solo una prueba (factor), normalmente una contraseña, o en ocasiones varias pruebas del mismo tipo, como un número de tarjeta de crédito y un código de verificación (CVC). Para mayor seguridad, el recurso puede requerir más de un factor: autenticación multifactor o autenticación de dos factores cuando se deben proporcionar exactamente dos tipos de pruebas. ^{[ 3 ]}

El uso de múltiples factores de autenticación para probar la identidad se basa en la premisa de que es improbable que un actor no autorizado pueda proporcionar todos los factores necesarios para el acceso. Si, en un intento de autenticación, falta al menos uno de los componentes o se proporciona incorrectamente, la identidad del usuario no se establece con suficiente certeza y el acceso al activo (por ejemplo, un edificio o datos) protegido por la autenticación multifactor permanece bloqueado. Los factores de autenticación de un esquema de autenticación multifactor pueden incluir: ^{[ 4 ]}

• Algo que el usuario posee: Cualquier objeto físico en posesión del usuario, como un token de seguridad ( memoria USB ), una tarjeta bancaria , una llave, un teléfono al que se puede contactar en un número determinado, etc.
• Algo que el usuario conoce: Cierto conocimiento conocido solo por el usuario, como una contraseña , PIN , PUK , etc.
• Algo que el usuario es: Alguna característica física del usuario ( biometría ), como una huella dactilar , iris del ojo, voz, velocidad de escritura , patrón en intervalos de pulsación de teclas, etc.

Un ejemplo de autenticación de dos factores es el retiro de dinero de un cajero automático ; solo la combinación correcta de una tarjeta bancaria físicamente presente (algo que el usuario posee) y un PIN (algo que el usuario conoce) permite realizar la transacción. Otros dos ejemplos consisten en complementar una contraseña controlada por el usuario con una contraseña de un solo uso (OTP) o un código generado o recibido por un autenticador (por ejemplo, un token de seguridad o un teléfono inteligente ) que solo el usuario posee. ^{[ 5 ]}

Una aplicación de autenticación permite la autenticación de dos factores de una manera diferente, mostrando un código generado aleatoriamente y que se actualiza constantemente, en lugar de enviar un SMS o usar otro método. ^{[ 6 ]} Este código es una contraseña de un solo uso basada en el tiempo ( TOTP ), y la aplicación de autenticación contiene el material clave que permite la generación de estos códigos.

Posesión

Los factores de posesión («algo que solo el usuario posee») se han utilizado para la autenticación durante siglos, en forma de llave para una cerradura. El principio básico es que la llave contiene un secreto compartido entre la cerradura y la llave, y este mismo principio subyace a la autenticación por factores de posesión en sistemas informáticos. Un token de seguridad es un ejemplo de factor de posesión.

Los tokens desconectados no tienen conexión con el ordenador del cliente. Suelen utilizar una pantalla integrada para mostrar los datos de autenticación generados, que el usuario introduce manualmente. Este tipo de token utiliza principalmente una contraseña de un solo uso que solo puede utilizarse durante esa sesión específica. ^{[ 7 ]}

Los tokens conectados son dispositivos que se conectan físicamente al ordenador que se va a utilizar. Estos dispositivos transmiten datos automáticamente. ^{[ 8 ]} Existen varios tipos diferentes, incluidos tokens USB, tarjetas inteligentes y etiquetas inalámbricas . ^{[ 8 ]} Cada vez son más populares los tokens compatibles con FIDO2 , respaldados por la Alianza FIDO y el Consorcio World Wide Web (W3C), y la mayoría de los navegadores los admiten desde 2015.

Un token de software (también conocido como token blando ) es un tipo de dispositivo de seguridad de autenticación de dos factores que se puede utilizar para autorizar el uso de servicios informáticos. Los tokens de software se almacenan en un dispositivo electrónico de uso general, como un ordenador de sobremesa , un portátil , una PDA o un teléfono móvil , y se pueden duplicar. A diferencia de los tokens de hardware , donde las credenciales se almacenan en un dispositivo de hardware dedicado y, por lo tanto, no se pueden duplicar, salvo que se produzca una intrusión física en el dispositivo. Un token blando puede no ser un dispositivo con el que el usuario interactúe. Normalmente, se carga un certificado X.509v3 en el dispositivo y se almacena de forma segura para este fin. ^{[ 9 ]}

La autenticación multifactor también se puede aplicar en sistemas de seguridad física, donde normalmente se implementa mediante el uso, en primer lugar, de un elemento físico (como un llavero, una tarjeta de acceso o un código QR que se muestra en un dispositivo) que actúa como credencial de identificación, y en segundo lugar, una validación de la identidad, como la biometría facial o el escaneo de retina (verificación facial o autenticación facial), o un PIN.

La autenticación de dos factores mediante mensajes de texto se desarrolló ya en 1996, cuando AT&T describió un sistema para autorizar transacciones basado en un intercambio de códigos a través de buscapersonas bidireccionales. ^{[ 12 ] [ 13 ]}

Muchos proveedores de autenticación multifactor ofrecen autenticación mediante teléfono móvil. Algunos métodos incluyen la autenticación mediante notificaciones push, la autenticación mediante código QR , la autenticación con contraseña de un solo uso (basada en eventos y en tiempo) y la verificación por SMS. La verificación por SMS presenta algunos problemas de seguridad. Los teléfonos pueden clonarse, las aplicaciones pueden ejecutarse en varios teléfonos y el personal de mantenimiento de teléfonos móviles puede leer los mensajes SMS. Además, los teléfonos móviles pueden verse comprometidos en general, lo que significa que el teléfono ya no es algo exclusivo del usuario.

El principal inconveniente de la autenticación que incluye algo que el usuario posee es que este debe llevar consigo el token físico (la memoria USB, la tarjeta bancaria, la llave o similar) prácticamente todo el tiempo. La pérdida y el robo representan riesgos. Muchas organizaciones prohíben el ingreso y la salida de dispositivos electrónicos y memorias USB de sus instalaciones debido a los riesgos de malware y robo de datos, y la mayoría de las máquinas importantes no cuentan con puertos USB por la misma razón. Los tokens físicos generalmente no son escalables, ya que suelen requerir un token nuevo para cada cuenta y sistema. Adquirir y reemplazar tokens de este tipo implica costos. Además, existen conflictos inherentes y compensaciones inevitables entre la usabilidad y la seguridad. ^{[ 14 ]}

La autenticación de dos pasos mediante teléfonos móviles y smartphones ofrece una alternativa a los dispositivos físicos dedicados. Para autenticarse, los usuarios pueden utilizar sus códigos de acceso personales (es decir, algo que solo ellos conocen) junto con una contraseña dinámica de un solo uso, generalmente de 4 a 6 dígitos. Esta contraseña se puede enviar al dispositivo móvil ^{[ 3 ]} mediante SMS o generarse con una aplicación generadora de contraseñas de un solo uso. En ambos casos, la ventaja de usar un teléfono móvil es que no se necesita un token adicional, ya que los usuarios suelen llevar sus dispositivos móviles consigo en todo momento.

A pesar de la popularidad de la verificación por SMS, los defensores de la seguridad la han criticado públicamente ^{[ 15 ]} y, en julio de 2016, un borrador de directriz del NIST de Estados Unidos propuso desaconsejarla como forma de autenticación ^{[ 16 ]} . Un año después, el NIST reinstauró la verificación por SMS como un canal de autenticación válido en la directriz final ^{[ 17 ] .}

Ya en 2011, Duo Security ofrecía notificaciones push para MFA a través de una aplicación móvil. ^{[ 18 ]} En 2016 y 2017 respectivamente, tanto Google como Apple comenzaron a ofrecer autenticación de dos pasos para el usuario con notificaciones push ^{[ 4 ]} como método alternativo. ^{[ 19 ] [ 20 ]}

La seguridad de los tokens de seguridad entregados por SMS depende totalmente de la seguridad operativa del operador móvil y puede ser fácilmente vulnerada mediante escuchas telefónicas o clonación de SIM por parte de agencias de seguridad nacional. ^{[ 21 ]}

Ventajas:

• No se necesitan tokens adicionales porque utiliza dispositivos móviles que (normalmente) se llevan encima todo el tiempo.
• Dado que cambian constantemente, las contraseñas generadas dinámicamente son más seguras que la información de inicio de sesión fija (estática).
• Dependiendo de la solución, las contraseñas utilizadas se reemplazan automáticamente para garantizar que siempre haya un código válido disponible; por lo tanto, los problemas de transmisión/recepción no impiden el inicio de sesión.

Desventajas:

• Los usuarios aún pueden ser vulnerables a ataques de phishing. Un atacante puede enviar un mensaje de texto con un enlace a un sitio web falsificado que se ve idéntico al sitio web real ( ataque de intermediario) . El atacante puede entonces obtener el código de autenticación, el nombre de usuario y la contraseña. ^{[ 22 ]}
• Un teléfono móvil no siempre está disponible: puede perderse, ser robado, quedarse sin batería o simplemente no funcionar. En particular, la pérdida de dispositivos sin relación con un incidente de seguridad representa una importante debilidad para la adopción masiva (en comparación con la pérdida de un dispositivo sin usar la autenticación multifactor). Las soluciones para esta debilidad suelen generar mayor complejidad en la adopción de la autenticación multifactor.
• A pesar de su creciente popularidad, algunos usuarios ni siquiera poseen un dispositivo móvil y se ofenden al verse obligados a tener uno como condición para utilizar algún servicio en su ordenador doméstico.
• El sistema SS7 subyacente al roaming de telefonía móvil tiene vulnerabilidades y los mensajes SMS pueden ser redirigidos a atacantes. ^{[ 23 ]}
• La cobertura de telefonía móvil no siempre está disponible; amplias zonas, sobre todo fuera de las ciudades, carecen de cobertura.
• La clonación de SIM permite a los hackers acceder a las conexiones de teléfonos móviles. Los ataques de intercambio de SIM y los ataques de ingeniería social contra las compañías operadoras de telefonía móvil han dado como resultado la entrega de tarjetas SIM duplicadas a delincuentes. ^{[ 24 ]}
• Los mensajes de texto enviados a teléfonos móviles mediante SMS son inseguros y pueden ser interceptados por interceptores de IMSI . Por lo tanto, terceros pueden robar y utilizar el token. ^{[ 25 ]}
• La recuperación de la cuenta normalmente elude la autenticación de dos factores del teléfono móvil. ^{[ 3 ]}
• Los smartphones modernos se utilizan tanto para recibir correo electrónico como SMS. Por lo tanto, si el teléfono se pierde o es robado y no está protegido con contraseña o autenticación biométrica, todas las cuentas cuyo correo electrónico sea la clave pueden ser vulneradas, ya que el teléfono puede recibir el segundo factor de autenticación.
• Las compañías de telefonía móvil pueden cobrar al usuario tarifas por el uso de mensajes.

El requisito 8.3 del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS) exige el uso de MFA para todo acceso remoto a la red que se origine fuera de la red a un Entorno de Datos de Tarjetas (CDE). ^{[ 26 ]} A partir de la versión 3.2 de PCI-DSS, el uso de MFA es obligatorio para todo acceso administrativo al CDE, incluso si el usuario se encuentra dentro de una red de confianza.

Según sus defensores, la autenticación multifactor podría reducir drásticamente la incidencia del robo de identidad en línea y otros fraudes en línea , ya que la contraseña de la víctima ya no sería suficiente para otorgar a un ladrón acceso permanente a su información. Sin embargo, muchos enfoques de autenticación multifactor siguen siendo vulnerables al phishing , ^{[ 38 ] [ 39 ]} los ataques de hombre en el navegador y de hombre en el medio . ^{[ 40 ]} Para contrarrestar los ataques de phishing, los usuarios no deben compartir sus códigos de verificación con nadie, ^{[ 41 ]} y muchos proveedores de aplicaciones web incluirán un aviso en un correo electrónico o SMS que contenga un código. ^{[ 42 ]}

En mayo de 2017, O2 Telefónica , un proveedor de servicios móviles alemán, confirmó que ciberdelincuentes habían explotado vulnerabilidades SS7 para eludir la autenticación de dos factores basada en SMS y realizar retiros no autorizados de las cuentas bancarias de los usuarios. Los delincuentes primero infectaron las computadoras de los titulares de las cuentas en un intento de robar sus credenciales bancarias y números de teléfono. Luego, los atacantes compraron acceso a un proveedor de telecomunicaciones falso y configuraron una redirección del número de teléfono de la víctima a un terminal controlado por ellos. Finalmente, los atacantes iniciaron sesión en las cuentas bancarias en línea de las víctimas y solicitaron que el dinero de las cuentas se retirara a cuentas de su propiedad. Los códigos de acceso SMS se enviaban a números de teléfono controlados por los atacantes y los delincuentes transferían el dinero. ^{[ 43 ]}

Muchos productos de autenticación multifactor requieren que los usuarios implementen software cliente para que los sistemas de autenticación multifactor funcionen. Algunos proveedores han creado paquetes de instalación separados para el inicio de sesión en la red , las credenciales de acceso web y las credenciales de conexión VPN . Para estos productos, puede haber cuatro o cinco paquetes de software diferentes que deben instalarse en el PC del cliente para utilizar el token o la tarjeta inteligente . Esto se traduce en cuatro o cinco paquetes sobre los que se debe realizar el control de versiones y otros cuatro o cinco paquetes para comprobar si hay conflictos con las aplicaciones empresariales. Si el acceso se puede operar mediante páginas web , es posible limitar la sobrecarga descrita anteriormente a una sola aplicación. Con otras tecnologías de autenticación multifactor, como los tokens de hardware, los usuarios finales no necesitan instalar ningún software. Algunos estudios han demostrado que los procedimientos de recuperación de MFA mal implementados pueden introducir nuevas vulnerabilidades que los atacantes pueden explotar. ^{[ 51 ]}

La autenticación multifactor presenta inconvenientes que impiden su generalización. Algunos usuarios tienen dificultades para recordar la ubicación de un token de hardware o un conector USB. Muchos carecen de las habilidades técnicas necesarias para instalar un certificado de software del lado del cliente por sí mismos. Generalmente, las soluciones multifactor requieren una inversión adicional para su implementación y costos de mantenimiento. La mayoría de los sistemas basados ​​en tokens de hardware son propietarios, y algunos proveedores cobran una tarifa anual por usuario. El despliegue de tokens de hardware es logísticamente complejo. Estos tokens pueden dañarse o perderse, y su emisión en grandes sectores como la banca o incluso dentro de grandes empresas requiere una gestión específica. Además de los costos de despliegue, la autenticación multifactor suele conllevar importantes costos adicionales de soporte. Una encuesta realizada en 2008 ^{[ 52 ]} por Credit Union Journal a más de 120 cooperativas de crédito estadounidenses informó sobre los costos de soporte asociados con la autenticación de dos factores. En su informe, se indicó que los certificados de software y las barras de herramientas de software presentaban los costos de soporte más elevados.

Las investigaciones sobre la implementación de sistemas de autenticación multifactor ^{[ 53 ]} han demostrado que uno de los elementos que suelen influir en la adopción de estos sistemas es el sector de actividad de la organización que los implementa. Entre los ejemplos citados se incluyen el gobierno de EE. UU., que emplea un elaborado sistema de tokens físicos (respaldados por una sólida infraestructura de clave pública ), así como los bancos privados, que tienden a preferir sistemas de autenticación multifactor para sus clientes que incluyan métodos de verificación de identidad más accesibles y económicos, como una aplicación instalada en el teléfono inteligente del cliente. A pesar de las variaciones existentes entre los sistemas disponibles, una vez implementado un sistema de autenticación multifactor, este tiende a mantenerse, ya que los usuarios se acostumbran a su presencia y uso, integrándolo con el tiempo como parte normalizada de su interacción diaria con el sistema de información correspondiente.

Aunque se percibe que la autenticación multifactor está dentro del ámbito de la seguridad perfecta, Roger Grimes escribe ^{[ 54 ]} que si no se implementa y configura correctamente, la autenticación multifactor puede, de hecho, ser fácilmente burlada.

En 2013, Kim Dotcom afirmó haber inventado la autenticación de dos factores en una patente de 2000, ^{[ 55 ]} y amenazó brevemente con demandar a todos los principales servicios web. Sin embargo, la Oficina Europea de Patentes revocó su patente ^{[ 56 ]} a la luz de una patente estadounidense anterior de 1998 en poder de AT&T. ^{[ 57 ]}

• Factores de autenticación
• Autenticación electrónica
• Gestión de identidades
• Autorización multipartita
• Autenticación mutua
• Fuera de banda
• Autenticación de confianza
• Segundo factor universal
• Detección y respuesta ante amenazas a la identidad

• TwoFactorAuth.org - TwoFactorAuth.org - Un recurso en línea exhaustivo sobre la autenticación de dos factores (2FA) y todo lo que implica.
• Los atacantes lograron infiltrarse en los servidores de RSA y robaron información que podría utilizarse para comprometer la seguridad de los tokens de autenticación de dos factores utilizados por 40 millones de empleados (register.com, 18 de marzo de 2011).
• Los bancos implementarán la autenticación de dos factores a finales de 2006 (slashdot.org, 20 de octubre de 2005).
• Microsoft abandonará las contraseñas : Microsoft se prepara para eliminar las contraseñas en favor de la autenticación de dos factores en las próximas versiones de Windows (vnunet.com, 14 de marzo de 2005).