MFA resistente al phishing con PKI y certificados
Cómo la autenticación basada en certificados y las claves protegidas por hardware pueden reducir el phishing y el robo de credenciales en entornos Zero Trust.
MFA resistente al phishing con certificados: resumen
Los métodos MFA tradicionales, como códigos SMS, OTP por correo y notificaciones push, pueden ser vulnerables a phishing sofisticado, ataques de intermediario y fatiga del usuario (por ejemplo, MFA bombing). Los riesgos aumentan en organizaciones distribuidas, centradas en la nube y con diversos dispositivos.
Autenticación resistente al phishing: conceptos clave
- Mayor garantía de identidad y compatibilidad con requisitos de cumplimiento, según la implementación.
- Reduce la dependencia de contraseñas, códigos de un solo uso y secretos compartidos.
- Puede vincular la autenticación al origen del sitio y a claves asociadas al dispositivo.
- Usa infraestructura de clave pública (PKI), criptografía asimétrica, protección de claves privadas y challenge-response criptográfico.
- Puede respaldar controles Zero Trust, RBAC y ABAC basados en identidad verificada por certificado y atributos.
PKI para Entra ID y Okta
Microsoft Entra ID (antes Azure AD) y Okta admiten autenticación basada en certificados (CBA) y claves FIDO2, como YubiKey y Thales/IDPrime. Estas opciones usan criptografía asimétrica y credenciales vinculadas al dispositivo para reducir el uso de secretos reutilizables. La compatibilidad concreta depende de la configuración del proveedor de identidad, los dispositivos y las políticas.
Las claves FIDO2 pueden añadir un coste por usuario. La autenticación basada en certificados puede utilizar la PKI existente y certificados protegidos por TPM, tarjetas inteligentes, PIV o CAC, según la infraestructura. Securetron PKI admite mecanismos como TPM, PIV, Smartcard, CAC, YubiKey y Thales IDPrime, además de integraciones con proveedores de identidad de terceros.
PKI MFA frente a TOTP MFA
| Aspecto | MFA TOTP | MFA PKI |
|---|---|---|
| Método de autenticación | Secreto compartido que genera códigos temporales | Criptografía asimétrica con par de claves pública/privada |
| Ubicación de credenciales | Secreto compartido en una aplicación autenticadora o servidor | Clave privada en TPM, tarjeta inteligente o HSM, según la configuración |
| Acción del usuario | Introduce un código de 6 dígitos | El dispositivo firma un desafío; no se introduce un código reutilizable |
| Resistencia al phishing y replay | Los códigos pueden ser capturados o reproducidos en determinados ataques | La firma del desafío y su vinculación al servicio pueden mitigar estos ataques si la solución está configurada correctamente |
| Casos de uso | MFA general | Acceso de alta garantía, Zero Trust y entornos regulados |
Disponibilidad y arquitectura
El artículo sostiene que una PKI local o de alta disponibilidad puede ofrecer un modelo distinto al de depender exclusivamente de un IdP SaaS. La disponibilidad durante una interrupción de Entra ID u Okta depende de la arquitectura, las dependencias de autenticación y los procedimientos de continuidad de cada organización; no debe darse por garantizada sin una prueba específica.
Protección de claves privadas y prueba de posesión
La clave privada puede almacenarse en hardware seguro como TPM, Secure Enclave, tarjeta inteligente o almacén respaldado por HSM. Una clave protegida por hardware está diseñada para evitar su extracción, aunque el nivel de protección depende del dispositivo y de su configuración.
En CBA, el servidor envía un desafío criptográfico, el cliente lo firma con la clave privada y el servidor valida la firma con la clave pública. Esto ayuda a demostrar la posesión de la clave. Frente a contraseñas, OTP o aprobaciones push, el flujo no depende de que el usuario escriba, lea o apruebe un secreto compartido.
El desafío puede vincularse a la sesión TLS, la cadena del certificado del servidor y la identidad del servicio. La eficacia frente a MITM depende de la validación correcta de TLS y de la implementación de CBA.
Más información
Para evaluar MFA resistente al phishing y proteger identidades privilegiadas con PKI, contacte con Securetron para analizar los requisitos de su entorno.