Entender la autenticación multifactor (MFA)

La autenticación multifactor (MFA) es un mecanismo de seguridad que exige dos o más factores de verificación para acceder a un sistema, una aplicación o una cuenta. Al añadir capas de protección, dificulta el acceso de personas no autorizadas a información sensible. A continuación se explica el proceso:

1. ¿Qué es MFA?

MFA combina dos o más de estos factores de autenticación:

1. Algo que sabe: una contraseña, un PIN o una respuesta de seguridad.
2. Algo que tiene: un dispositivo físico, como un teléfono inteligente, token de seguridad o tarjeta inteligente.
3. Algo que es: un dato biométrico, como huella dactilar, reconocimiento facial o de voz.

Exigir varios factores reduce notablemente el riesgo de acceso no autorizado, incluso si uno de ellos, como la contraseña, se ve comprometido.

2. Cómo funciona MFA

El proceso normalmente incluye estos pasos:

Paso 1: el usuario inicia sesión

• El usuario introduce su nombre de usuario y contraseña (el primer factor) en la página de acceso del sistema o aplicación.

Paso 2: verificación del primer factor

• El sistema comprueba el nombre de usuario y la contraseña en su base de datos.
• Si son correctos, continúa. De lo contrario, deniega el acceso.

Paso 3: solicitud del segundo factor

• El sistema solicita un segundo factor, que puede ser:
  • Una contraseña de un solo uso (OTP) enviada por SMS, correo o una aplicación de autenticación.
  • Una notificación push enviada a un dispositivo registrado.
  • Una lectura biométrica, como huella o reconocimiento facial.
  • Un token de hardware o tarjeta inteligente.

Paso 4: verificación del segundo factor

• El usuario proporciona el segundo factor solicitado, por ejemplo, introduce el OTP o aprueba la notificación push.
• El sistema valida ese factor:
  • Para los OTP, comprueba que el código coincida con el generado por el sistema.
  • Para biometría, compara la lectura con los datos biométricos almacenados.
  • Para los tokens de hardware, valida la respuesta del token.

Paso 5: acceso concedido

• Si ambos factores son válidos, el usuario obtiene acceso al sistema o aplicación.
• Si falla cualquiera de ellos, se deniega el acceso y puede solicitarse otro intento o el proceso de recuperación.

3. Tipos de factores MFA

MFA combina distintos tipos de factores:

a. Factores basados en conocimiento

• Contraseñas/PIN: el primer factor más común.
• Preguntas de seguridad: respuestas a preguntas predefinidas (por ejemplo, «¿Cuál es el apellido de soltera de su madre?»).

b. Factores basados en posesión

• Contraseñas de un solo uso (OTP): enviadas por SMS, correo o generadas por una aplicación de autenticación (por ejemplo, Google Authenticator o Microsoft Authenticator).
• Notificaciones push: enviadas a un dispositivo móvil registrado para su aprobación.
• Tokens de hardware: dispositivos físicos que generan OTP o utilizan claves criptográficas (por ejemplo, YubiKey).
• Tarjetas inteligentes: tarjetas con chip integrado que requieren un lector.

c. Factores inherentes (biometría)

• Huellas dactilares: utilizan patrones de huella únicos.
• Reconocimiento facial: analiza rasgos del rostro.
• Reconocimiento de voz: compara patrones de voz.
• Escaneo del iris: utiliza patrones únicos del iris.

d. Factores basados en ubicación

• Geolocalización: verifica la ubicación mediante IP o GPS.
• Red: limita el acceso a redes o rangos de IP específicos.

e. Factores basados en comportamiento

• Patrones de escritura: analiza la dinámica de las pulsaciones de teclas.
• Patrones de uso del dispositivo: observa cómo interactúa el usuario con el dispositivo.

4. Ventajas de MFA

• Mayor seguridad: añade capas de protección y reduce el acceso no autorizado.
• Cumplimiento: ayuda a satisfacer requisitos normativos (por ejemplo, GDPR, HIPAA y PCI DSS).
• Protección contra phishing: aunque roben una contraseña, el atacante no puede acceder sin el segundo factor.
• Confianza del usuario: refuerza la confianza en la protección de cuentas y datos.

5. Retos de MFA

• Comodidad del usuario: algunos usuarios pueden considerar inconvenientes los pasos adicionales.
• Dependencia del dispositivo: los factores de posesión requieren acceso a un dispositivo concreto, como un teléfono inteligente.
• Costes de implementación: el sistema puede requerir inversión en hardware, software y formación.
• Complejidad de recuperación: recuperar la cuenta puede ser difícil si se pierde o compromete un factor, como un teléfono robado.

6. Buenas prácticas para implementar MFA

• Elegir los factores adecuados: equilibrar seguridad y facilidad de uso para la audiencia.
• Formar a los usuarios: ofrecer instrucciones claras y formación sobre MFA.
• Usar MFA adaptativa: ajustar la autenticación según el riesgo y el contexto, como ubicación, dispositivo o comportamiento.
• Supervisar y actualizar: revisar periódicamente los registros MFA y actualizar los sistemas para corregir vulnerabilidades.
• Ofrecer opciones de recuperación: proporcionar métodos seguros si se pierde un factor, como códigos de respaldo o un correo alternativo.

7. Casos de uso habituales de MFA

• Seguridad empresarial: proteger redes corporativas, correo y aplicaciones en la nube.
• Banca en línea: proteger transacciones financieras y el acceso a cuentas.
• Comercio electrónico: proteger las cuentas de clientes y los datos de pago.
• Atención sanitaria: proteger datos de pacientes y cumplir HIPAA.
• Trabajo remoto: proporcionar acceso seguro a los recursos corporativos.

8. Soluciones MFA populares

• Google Authenticator: genera OTP basadas en tiempo.
• Microsoft Authenticator: admite OTP y notificaciones push.
• Duo Security: ofrece opciones flexibles, como notificaciones push y biometría.
• YubiKey: token de hardware para autenticación sólida.
• Authy: aplicación de autenticación en la nube con compatibilidad multidispositivo.

La MFA puede mejorar considerablemente la seguridad de una organización y proteger los datos sensibles contra accesos no autorizados. Es un proceso sencillo y eficaz, y constituye un componente importante de las estrategias modernas de ciberseguridad.