Cómo habilitar la autenticación de dos factores

La autenticación de dos factores o 2FA es una forma de permitir que un usuario se identifique a un proveedor de servicios al requerir una combinación de dos métodos de autenticación diferentes. Estos componentes pueden ser algo que el usuario sabe - como una contraseña o PIN, algo que el usuario posee - como un teléfono celular o una llave, o algo que está unido o inseparable del usuario -  como sus huellas dactilares.

Es probable que ya utilice la autenticación de dos factores en otras partes de su vida. Cuando usa un cajero automático para retirar dinero en efectivo, debe tener tanto su tarjeta bancaria física (algo que posee) como su código PIN (algo que usted sabe). En este momento, sin embargo, muchos servicios en línea sólo utilizan un factor para identificar a sus usuarios de forma predeterminada: una contraseña.

En los últimos años, varios servicios en línea -incluyendo Facebook, Google y Twitter- han ofrecido 2FA como una alternativa a la autenticación de contraseña única. Una vez habilitada esta función, se le pedirá a los usuarios su contraseña y un método secundario de autenticación, normalmente un código de una sola vez enviado por SMS o un código de una sola vez generado por una aplicación móvil dedicada que almacena un secreto (como Google Authenticator, Duo Mobile, la aplicación de Facebook o Clef). En cualquier caso, el segundo factor es el teléfono móvil del usuario, algo que (normalmente) poseen. Algunos sitios web (incluido Google) también admiten códigos de copia de seguridad que se pueden descargar e imprimir en papel como copia de seguridad adicional. Una vez que el usuario haya optado por utilizar 2FA, tendrá que introducir su contraseña y un código de una sola vez desde su teléfono para acceder a su cuenta.

2FA le ofrece una mayor seguridad de la cuenta al requerir que autentique su identidad mediante más de un método. Esto significa que, incluso si alguien se apoderara de su contraseña principal, no podría acceder a su cuenta a menos que también tuviera su teléfono móvil u otro medio secundario de autenticación.

Aunque 2FA ofrece un medio de autenticación más seguro, existe un mayor riesgo de que los usuarios no estén disponibles para acceder a sus cuentas, por ejemplo si el usuario pierde o sustituye su teléfono, cambia su tarjeta SIM o viaja a un país sin encenderlo itinerancia.

Muchos servicios de 2FA ofrecen una breve lista de códigos de "copia de seguridad" o "recuperación" que siempre funcionan para desbloquear su cuenta. Si le preocupa perder el acceso a su teléfono u otro dispositivo de autenticación, debe imprimir y llevar consigo estos códigos. Seguirán funcionando como "algo que tienes", siempre y cuando sólo hagas una copia y la mantengas cercana. Recuerde tener mucho cuidado de mantener seguros los códigos y asegurarse de que nadie más los vea o tenga acceso a ellos en cualquier momento.

Otro problema con los sistemas 2FA que utilizan mensajes SMS es que la mensajería SMS no es tan segura. Es posible que un atacante sofisticado (como una agencia de inteligencia o una operación de crimen organizado) que tenga acceso a la red telefónica para interceptar y utilizar los códigos que se envían por SMS. También ha habido casos en que un atacante menos sofisticado (como un individuo) ha logrado tener llamadas o mensajes de texto destinados a un número remitido a su propio, o servicios de la compañía telefónica que tengan acceso a los mensajes de texto enviados a un número de teléfono sin Necesidad de tener el teléfono.

Si está preocupado por este nivel de ataque, desactive la autenticación de SMS y sólo utilice aplicaciones de autenticación como Google Authenticator o Authy. Desafortunadamente, esta función no está disponible con cada servicio habilitado para 2FA.

Además, 2FA puede significar que entregas más información a un servicio de lo que te sientas cómodo. Supongamos que eres un usuario de Twitter y te has registrado utilizando un seudónimo. Incluso si usted escrupulosamente evita dar a Twitter su información de identificación, e incluso si accede al servicio sólo sobre Tor o una VPN , si habilita SMS 2FA, Twitter necesariamente tendrá un registro de su número de móvil. Eso significa que, si es obligado por un tribunal, Twitter podrá vincular su cuenta a usted a través de su número de teléfono. Esto puede no ser un problema para usted, especialmente si ya usa su nombre legal en un servicio dado, pero si mantener su anonimato es importante, quizás quiera pensar dos veces antes de usar SMS 2FA.

Por último, la investigación ha demostrado que algunos usuarios elegirán contraseñas más débiles después de habilitar 2FA, sintiendo que el segundo factor es mantenerlos seguros. Asegúrese de elegir una contraseña segura incluso después de activar 2FA.

Esto difiere de plataforma a plataforma, al igual que la terminología utilizada. Facebook llama al proceso "aprobaciones de inicio de sesión" , Twitter lo llama "verificación de inicio de sesión" y Google lo llama "verificación en dos pasos". Para habilitar 2FA en la mayoría de las plataformas, sólo necesitará un teléfono móvil capaz de recibir SMS.

Una lista extensa de sitios que apoyan 2FA está disponible en twofactorauth.org Si desea una mejor protección contra contraseñas robadas, debe revisar esta lista y activar 2FA para todas las cuentas web importantes en las que confía.