¿Qué es la autenticación multifactor?

La autenticación multifactor (MFA) es un proceso de gestión de accesos de seguridad multicapa que otorga a los usuarios acceso a una red, un sistema o una aplicación solo después de confirmar su identidad con más de una credencial o con un segundo factor de autenticación. Normalmente esto se realiza mediante una combinación de un nombre de usuario, una contraseña y otro factor, como un código de verificación, una contraseña de un solo uso (OTP) enviada por mensaje de texto o correo electrónico, un token de seguridad de una app de autenticación o un identificador biométrico.

Al requerir varios factores de autenticación, las organizaciones mejoran significativamente su posición de seguridad. Esto se debe a que incluso si el factor de autenticación principal se ve comprometido o está desactivado, no se dará acceso a no ser que el usuario también tenga o controle el factor de autorización secundario.

Importancia de la autenticación multifactor

Análisis del equipo de CrowdStrike^® Counter Adversary Operations muestran que el 80 % de las brechas se producen a través de la identidad. Los ataques basados en la identidad son extremadamente difíciles de detectar con medidas y herramientas de seguridad tradicionales porque estas soluciones normalmente no están diseñadas para monitorizar la actividad de usuarios aprobados ni para detectar casos en los que se han comprometido las credenciales de un usuario autorizado.

La autenticación MFA es un componente fundamental de un marco de gestión de identidades y accesos (IAM) sólido. Esto significa que la autenticación MFA es principalmente una herramienta de acceso, en lugar de una solución de seguridad.

Dicho de otro modo, aunque la MFA puede evitar el acceso a usuarios que no pueden verificar su identidad, no puede diferenciar entre una solicitud de un usuario legítimo y uno malicioso. Además, una vez que el usuario recibe acceso a la red, la aplicación, el endpoint o el sistema, una solución MFA no puede detectar o evitar ataques en tiempo real basados en la identidad.

Por lo tanto, las organizaciones deben pensar en la MFA como un componente de una infraestructura IAM más amplia, y como un enlace con una estrategia y arquitectura más extensas en materia de ciberseguridad.

La autenticación multifactor frente a la autenticación de dos factores (2FA)

La autenticación de dos factores (2FA) es un término que a veces se confunde con la autenticación MFA. Desde el punto de vista técnico, la 2FA es un tipo de autenticación multifactor que limita al usuario a dos credenciales de autenticación, mientras que la autenticación MFA requiere al menos dos formas de autenticación.

De forma predeterminada, la mayoría de los sistemas de autenticación MFA siguen el modelo 2FA, aunque algunas organizaciones pueden requerir métodos de autenticación adicionales, especialmente cuando el usuario intenta entrar en la red o acceder a recursos desde una ubicación no conocida o sospechosa.

¿Cómo funciona la autenticación multifactor?

La MFA requiere uno o más factores de verificación además del método tradicional de usuario y contraseña. Normalmente sigue un mismo proceso:

1. Registro: los sistemas de autenticación MFA requieren múltiples formas de identificación para que los usuarios se registren. Una vez registrado, el usuario vincula los dispositivos que va a usar para la autenticación, como su móvil o portátil. La autenticación también se puede realizar a través de una dirección de correo, un número de teléfono o una app de autenticación.
2. Autenticación: una vez que un usuario y todos sus dispositivos están registrados, cuando inicie sesión en un sitio web o una app que requiera autenticación MFA, se le solicitará su usuario y contraseña, y una respuesta de autenticación de uno de los dispositivos registrados.
3. Reacción: el usuario tiene que responder a dicha solicitud de autenticación. En función del método de MFA elegido, se puede solicitar un código recibido en el dispositivo registrado o pulsar un botón concreto.

Tipos y métodos habituales de autenticación multifactor

La mayoría de los métodos de autenticación se pueden clasificar de acuerdo con los siguientes tipos de grupos:

1. Algo que conoces (enfoque basado en el conocimiento)

Se refiere a una credencial basada en algo que se conoce. Es la forma más sencilla y común de verificación. Esta categoría incluye códigos PIN, contraseñas creadas por el usuario y respuestas a preguntas de seguridad.

Métodos

• Contraseñas de un solo uso (OTP): son el factor de autenticación MFA más utilizado. Las OTP son códigos numéricos enviados por correo electrónico, SMS o una app móvil como Google Authenticator, Microsoft Authenticator o Salesforce Authenticator. Las OTP se vuelven a generar cuando ha pasado un tiempo específico o cada vez que se envía una nueva solicitud de autenticación. El código se basa en un valor inicial que se asigna al usuario tras su registro inicial y un factor adicional basado en el tiempo.

• Preguntas de seguridad personales: a veces, es posible que se te solicite que respondas preguntas de seguridad personales (es decir, preguntas cuyas respuestas solo tú conoces). Por ejemplo, se te puede preguntar el nombre de pila de tu abuela, el nombre de tu mejor amigo de la infancia, la ciudad en la que naciste, el nombre de tu primera mascota o el nombre de la calle en la que te criaste.

2. Algo que tienes (enfoque basado en la posesión)

Las credenciales basadas en la posesión requieren que los usuarios generen o reciban recursos como un certificado o un token de seguridad. Esto se hace mediante una app de autenticación como Google Authenticator o Microsoft Authenticator o con una OTP de tiempo limitado enviada por mensaje de texto, correo electrónico o un enlace seguro.

Métodos

• Contraseña de un solo uso (OTP): una OTP también se considera un método basado en la posesión porque es necesario tener un dispositivo físico, como un móvil o un portátil, para acceder a ella.
• Tarjetas inteligentes y tokens de hardware criptográficos: son dispositivos físicos que pueden realizar operaciones criptográficas como descifrado y firma; las claves internas están almacenadas físicamente dentro de un enclave completamente aislado. Se pueden utilizar para iniciar sesión en el equipo (por ejemplo, mediante el inicio de sesión con tarjeta inteligente de Windows) y para realizar una verificación basada en firma digital para autorizar transacciones. Las tarjetas inteligentes pueden ser sin contacto o requerir un lector especial, mientras que los tokens de hardware criptográficos requieren un puerto USB para su conexión.
• Tokens OTP de hardware: muy utilizados en el sector bancario, los tokens OTP de hardware generan códigos de un solo uso a través de un repositorio de claves criptográficas alojado en el dispositivo y en el servidor. En un inicio de sesión, el sistema autentica al usuario comprobando que la clave del dispositivo y del servidor coinciden.
• Kits de desarrollo de software (SDK) de token lógico: este método de verificación utiliza operaciones criptográficas como firmas digitales integradas en apps móviles para autenticar al usuario y al dispositivo. Los SDK de token de software ofrecen una experiencia de usuario intuitiva porque no tiene que cambiar entre aplicaciones o usar un dispositivo de hardware.

3. Algo que eres (enfoque basado en la herencia)

Este es el factor de verificación más difícil de replicar. Incluye identificadores biométricos basados en características fisiológicas como huellas dactilares, reconocimiento fácil, escáner de iris o características de comportamiento, como patrones de tecleo.

Métodos

• Biometría: otra técnica común de autenticación MFA mide características biométricas innatas, como huellas dactilares, rasgos faciales, escaneos de iris o retina, o identificación de voz para confirmar la identidad del usuario. Aunque esta técnica fue vista inicialmente como un factor de autenticación extremadamente potente, su popularidad disminuyó cuando se vio que la impresión 3D y las huellas dactilares generadas por IA pueden eludir estas técnicas.
• Análisis del comportamiento: en menor medida, algunas organizaciones también pueden utilizar biometría del comportamiento para confirmar la identidad de un usuario. Este método se vale de patrones únicos identificables y cuantificables del comportamiento de una persona para verificar su identidad. Por ejemplo, la dinámica de tecleo analiza la velocidad, el ritmo y la presión aplicada a las teclas para confirmar la identidad de un usuario.

Ventajas de la autenticación multifactor

La autenticación MFA aporta muchas ventajas a las organizaciones:

Problemas de la autenticación multifactor

Al igual que todas las tecnologías, la implementación y el funcionamiento de la MFA puede presentar diferentes retos para las organizaciones. Por ejemplo:

• Si un empleado pierde un móvil u otro dispositivo personal que forme parte de un método de defensa por capas, afectará temporalmente a su acceso al sistema y, por tanto, a su productividad.
• Los datos de biometría que usan los algoritmos de MFA requieren una introducción inicial meticulosa y precisa. Es posible que el sistema genere falsos positivos o negativos si la información inicial no se introdujo correctamente.
• La verificación MFA puede estar temporalmente no disponible si una empresa sufre una caída de su red interna o de la conexión a Internet.

El futuro de la autenticación multifactor

La autenticación MFA no es de ninguna manera un proceso de seguridad infalible. Igual que los cibercriminales trabajan las 24 horas del día para desarrollar nuevas técnicas para atacar las redes, también intentan dar con formas de eludir las medidas de seguridad de la autenticación MFA, interceptar tokens o falsificar credenciales secundarias. Para reducir estos posibles puntos débiles, las técnicas de autenticación MFA se actualizan continuamente para protegerse contra amenazas en evolución y reforzarse con otras herramientas y soluciones de seguridad.

Además de implementar la autenticación MFA, las organizaciones deben considerar mejorar su posición de seguridad consultando las siguientes prácticas recomendadas de seguridad de la identidad, diseñadas para limitar el acceso a la red y los privilegios de las cuentas, y frenar los movimientos de un hacker si se produce una brecha:

• Principio del mínimo de privilegios (POLP): el POLP es un concepto de seguridad informática y una práctica que proporciona a los usuarios derechos de acceso limitados en función de las tareas necesarias para su trabajo. Garantiza que solo los usuarios autorizados y con identidades verificadas tengan los permisos necesarios para realizar trabajos dentro de ciertos sistemas, aplicaciones, datos y recursos. Se considera una de las prácticas más efectivas para reforzar la posición de ciberseguridad de una organización porque permite a las organizaciones controlar y monitorizar el acceso a la red y a los datos.
• Zero Trust: marco de seguridad que requiere autenticación, autorización y validación continua de todos los usuarios (ya sean internos o externos a la organización) antes de recibir acceso a las aplicaciones y a los datos. Combina tecnologías avanzadas como la autenticación MFA basada en riesgos, la protección de identidad, la seguridad de endpoints de nueva generación y tecnología robusta de carga de trabajo en la nube para verificar la identidad de un usuario o sistema, considerar si otorgar acceso en ese momento y mantener la seguridad del sistema. Zero Trust también requiere cifrado de datos, protección del correo electrónico y verificación de la higiene de los recursos y endpoints antes de que se conecten a las aplicaciones.
• Gestión de acceso con privilegios (PAM): PAM es una estrategia de ciberseguridad que se centra en mantener la seguridad de las credenciales con privilegios.
• Segmentación de identidades: es un método que restringe el acceso a aplicaciones o recursos en función de la identidad.
• Higiene de TI: una herramienta de higiene de TI proporciona visibilidad sobre el uso de credenciales en una organización para detectar actividades administrativas potencialmente maliciosas. La función de monitorización de cuentas permite a los equipos de seguridad verificar la presencia de cuentas creadas por ciberdelincuentes para mantener el acceso. También garantiza que las contraseñas se cambien periódicamente para que no se puedan usar siempre, si alguien se hace con ellas.