Alberto Méndez

Desde hace unos años se ha ido popularizando la «autenticación multi factor» como medida de seguridad adicional de acceso a un dispositivo o servicio electrónico. Básicamente consta de una serie de mecanismos mediante los cuáles se procura garantizar que la entidad que accede al servicio es legítima y está autorizada. La mayoría de las veces que accedemos a un servicio en la red lo hacemos mediante un usuario y una contraseña, es bien sabido que este mecanismo a pesar de ser el más utilizado no es el más eficaz por eso desde hace mucho tiempo se vienen buscando diferentes formas de identificar a un usuario legítimo.

La autenticación multi factor viene a acompañar al mecanismo tradicional de acceso a un servicio otorgando una capa extra de seguridad y se centra en tres factores:

• Conocimiento: Una información que sólo nosotros (usuario legítimo) conocemos.
• Posesión: Un dispositivo, normalmente físico, que poseemos.
• Inherencia: Algo que somos y es único frente a los demás, habitualmente nuestros datos biómetricos, nuestra huella dactilar, nuestro iris, rasgos faciales, etc.

Utilizamos esta metodología a diario aun sin ser conscientes de ello por ejemplo cuando desbloqueamos nuestro teléfono con nuestra huella dactilar, cuando desbloqueamos el ordenador permitiendo que la cámara del mismo nos escanee los rasgos faciales, etc, pero mucha gente no es consciente de que se puede aprovechar este mecanismo para añadir una capa extra de protección a los servicios que utilizamos en la red.

Como vemos hay diferentes tipos de autenticación multi factor y aquí vamos a centrarnos en el de posesión, concretamente al que llamamos «Doble factor de autenticación», éste nos permite identificarnos en un servicio utilizando algo que poseemos, lo hacemos por ejemplo cada vez que utilizamos la tarjeta de coordenadas provista por nuestro banco para realizar operaciones en nuestra banca virtual. El objetivo es realizar una operación y para poder efectuarla satisfactoriamente necesitamos un dispositivo físico, en este caso una simple cartulina de cartón que contiene una información diferente a todas las demás, sin ese dispositivo físico la operación no puede realizarse, al menos en la teoría.

La gran mayoría de servicios en la red nos proporcionan la opción de habilitar el doble factor de autenticación y para ello utilizan algo que todos poseemos y es «único y diferente» al de los demás, nuestro teléfono móvil. Al habilitar el doble factor de autenticación en estos servicios cada vez que se intente acceder al servicio ya seamos nosotros (usuario legítimo) o terceros (usuarios ilegítimos) se nos solicitará un código que recibiremos en nuestro teléfono, como nosotros somos los únicos poseedores de nuestro teléfono móvil da igual que alguien sepa la contraseña, no podrá acceder porque no tiene este segundo código extra que necesita para poder acceder a nuestra cuenta. Estos códigos normalmente se generan «aleatoriamente» y tienen un periodo de validez muy breve evitando así que alguien pueda averiguar el código para poder acceder.

Hoy en día muchos servicios ofrecen una aproximación al doble factor de autenticación por defecto y lo que hacen es avisarnos cada vez que se accede desde un dispositivo diferente a los habituales, no nos solicitan ningún código simplemente nos avisan que se ha accedido desde tal dispositivo de forma que si no hemos sido nosotros sabemos que alguien conoce nuestros datos de acceso y tenemos que cambiarlos.

El doble factor de autenticación no está libre de problemas inherentes a la naturaleza de la dependencia de un dispositivo físico, ¿Qué pasa si perdemos nuestro teléfono móvil? ¿O si por el motivo que sea no lo tenemos encima o no podemos acceder a él? Pues que aun siendo los usuarios legítimos no podremos realizar la tarea en cuestión, para prevenir esto cuando se configura el servicio se nos proporcionan una serie de códigos que debemos guardar en un lugar seguro y fuera del alcance de terceras personas, esto es muy importante ya que si en algún momento queremos recuperar el acceso al servicio y no tenemos estos códigos habremos perdido de forma casi definitiva nuestra cuenta.

Yo personalmente recomiendo habilitar este mecanismo en los servicios que consideremos críticos, aquellos en los que introducimos y mantenemos almacenada nuestra tarjeta de crédito, aquellos de los que depende nuestro negocio, etc. Por ejemplo si tu negocio es un comercio electrónico almacenado en un hosting ajeno a la empresa, si ese negocio tiene una página de Facebook, en esa cuenta de correo principal que utilizamos para los cosas importantes, etc. No recomiendo habilitarlo en todos los sitios ya que como casi toda capa extra de seguridad conlleva una serie de requisitos que suelen entorpecer el acceso legítimo, en este caso el tener que introducir el código además de la contraseña o tener que depender de nuestro dispositivo para poder acceder al servicio.

Así que ya sabes, si utilizas un servicio en internet que consideras crítico o quieres aumentar su seguridad te recomiendo activar el doble factor de autenticación, casi seguro lo tiene y conseguirás que no le sea tan fácil acceder a una tercera persona no autorizada. Activar y configurar este servicio suele hacerse en tres pasos, identificar el dispositivo que se utilizará para recibir los códigos, introducir el código recibido y copiar en lugar seguro los códigos de recuperación provistos. A partir de ese momento tendremos nuestra cuenta mejor protegida frente accesos no deseados.

Relacionado:

• Imagen cabecera: Sports Book Review

Alberto Méndez

Desarrollador de software, informático, emprendedor y entusiasta por la tecnología desde tiempos inmemoriales. Inquieto por defecto, curioso por naturaleza, trato de entender el mundo y mejorarlo utilizando la tecnología como herramienta.