Ver el código de «Autenticación de Dos Factores (2FA)»

[[Categoría:Conceptos de seguridad]]
La '''Autenticación de Dos Factores''' ('''2FA''', por sus siglas en inglés ''Two-Factor Authentication'') es un método de seguridad que refuerza el acceso a sistemas y cuentas al requerir que el usuario presente '''dos pruebas de identidad diferentes''' antes de concederle acceso[citation:1][citation:2]. Se trata de la forma más común de Autenticación Multifactor (MFA)[citation:1][citation:5].

Mientras que una contraseña (primer factor) puede ser robada, adivinada o vulnerada mediante ingeniería social, un segundo factor, que suele ser algo que el usuario posee o una característica biométrica, añade una capa de defensa vital que dificulta enormemente el acceso no autorizado[citation:7]. En esencia, 2FA responde a la pregunta: *¿Eres realmente quien dices ser?*, exigiéndote demostrarlo con dos piezas de evidencia distintas[citation:5][citation:7].

== Importancia de 2FA ==

Las contraseñas por sí solas ya no son suficientes para protegerse contra el panorama actual de ciberamenazas. Los ataques de phishing, el relleno de credenciales, la fuerza bruta y el robo de contraseñas son tácticas comunes y efectivas para los ciberdelincuentes[citation:2]. Según el informe de IBM, las credenciales comprometidas son la causa del '''10%''' de las violaciones de datos[citation:1][citation:4].

Al añadir un segundo factor, 2FA mitiga estos riesgos de las siguientes maneras:

*   **Protección contra contraseñas robadas**: Incluso si un atacante obtiene su contraseña, no podrá acceder a su cuenta sin el segundo factor[citation:2].
*   **Reducción del impacto del phishing y la ingeniería social**: Un atacante que engañe a un usuario para que revele su contraseña aún necesitará el segundo factor, que suele ser mucho más difícil de obtener[citation:2].
*   **Cumplimiento normativo**: 2FA ayuda a cumplir con los requisitos de seguridad de marcos como ISO 27001, NIST, GDPR o HIPAA[citation:2].

== Los Tres Pilares de 2FA: Factores de Autenticación ==

Para que un sistema de autenticación sea considerado de "dos factores", debe utilizar '''dos tipos diferentes''' de los siguientes factores[citation:1][citation:4]. Utilizar dos factores del mismo tipo (ej. contraseña y PIN) es considerado verificación en dos pasos, pero es menos seguro[citation:1][citation:4].

=== 1. Factor de Conocimiento (Algo que sabes) ===
Es la forma de autenticación más común. Se basa en información que el usuario debería conocer en secreto[citation:1][citation:5].

*   **Ejemplos**: Contraseñas, PIN, respuestas a preguntas de seguridad[citation:1][citation:4].
*   **Vulnerabilidad**: Es el factor más vulnerable. Las contraseñas pueden ser robadas mediante phishing, spyware, ataques de fuerza bruta o ingeniería social[citation:1][citation:4].

=== 2. Factor de Posesión (Algo que tienes) ===
Se basa en un objeto físico que el usuario posee[citation:1][citation:5]. Es el segundo factor más común en sistemas 2FA.

*   **Tokens de Software**: Son códigos o claves generados por una aplicación o enviados a un dispositivo.
    *   **OTP por SMS/Correo**: La plataforma envía un código de un solo uso (OTP) al móvil o correo del usuario. Es fácil de usar, pero es el método '''menos seguro''' debido a riesgos como la interceptación de SMS, la clonación de SIM o ataques de intermediario[citation:1][citation:4][citation:7].
    *   **Aplicaciones de Autenticación (TOTP)**: Aplicaciones como Google Authenticator, Microsoft Authenticator o Authy generan códigos que caducan cada 30-60 segundos (TOTP). Son más seguros que los SMS, ya que no dependen de la red móvil y son más difíciles de interceptar[citation:1][citation:4][citation:6].
    *   **Notificaciones Push**: La plataforma envía una notificación a una aplicación en el dispositivo del usuario para que la apruebe o deniegue. Es muy cómodo, aunque vulnerable a ataques de "fatiga MFA", donde el atacante inunda al usuario de notificaciones con la esperanza de que acepte una accidentalmente[citation:1][citation:7].
*   **Tokens de Hardware**: Son dispositivos físicos dedicados que funcionan como llaves de seguridad (ej. YubiKey). Se conectan vía USB o NFC y generan o transmiten automáticamente una OTP. Son los más seguros, aunque pueden perderse o ser robados[citation:1][citation:7].

=== 3. Factor de Inherencia (Algo que eres) ===
Se basa en características físicas o biológicas únicas del usuario[citation:1][citation:5].

*   **Ejemplos**: Huellas dactilares, reconocimiento facial, escaneo de iris, reconocimiento de voz[citation:1][citation:2].
*   **Seguridad**: Es el factor más difícil de falsificar. Sin embargo, si los datos biométricos se ven comprometidos, no pueden cambiarse fácilmente, lo que supone un riesgo a largo plazo[citation:1][citation:4].

=== 4. Factores Adicionales (Avanzados) ===
Algunos sistemas pueden utilizar factores de contexto para reforzar la seguridad, como:

*   **Factor de Ubicación**: Se basa en la geolocalización del usuario desde donde se intenta el acceso. Un inicio de sesión desde una ubicación inusual podría ser bloqueado o requerir pasos adicionales[citation:5][citation:7].
*   **Factor de Comportamiento**: Analiza patrones de comportamiento del usuario (ej. velocidad de escritura, patrones de uso del dispositivo) para detectar anomalías[citation:1][citation:4].

== Cómo Funciona 2FA en la Práctica ==

El proceso de 2FA añade un paso de verificación al flujo de inicio de sesión estándar[citation:7]:

1.  **Paso 1 (Primer Factor)**: El usuario introduce su nombre de usuario y contraseña (factor de conocimiento)[citation:2][citation:7].
2.  **Paso 2 (Verificación)**: El sistema solicita el segundo factor. Puede ser:
    *   Un código TOTP generado por una app de autenticación[citation:6].
    *   Una notificación push que el usuario debe aprobar en su dispositivo móvil[citation:2].
    *   Un código OTP enviado por SMS o correo electrónico[citation:2][citation:6].
    *   La inserción de una llave de seguridad física (USB/NFC)[citation:2][citation:7].
    *   Un escaneo biométrico (huella o rostro)[citation:2][citation:7].
3.  **Concesión de Acceso**: Una vez que ambos factores son validados correctamente, se concede el acceso al sistema[citation:7].

== Buenas Prácticas para Implementar 2FA ==

Para sacar el máximo partido a la autenticación de dos factores, es importante seguir estas recomendaciones:

*   **Activar 2FA en todas las cuentas que lo permitan**: Especialmente en correo electrónico, redes sociales, banca online, servicios de almacenamiento en la nube y cualquier plataforma que almacene datos sensibles[citation:6].
*   **Utilizar una aplicación de autenticación**: Se recomienda usar TOTP en lugar de SMS, ya que es un método considerablemente más seguro[citation:1][citation:4][citation:7].
*   **Registrar métodos de respaldo**: Guardar los códigos de recuperación que proporcionan los servicios en un lugar seguro. Permiten recuperar el acceso si se pierde el dispositivo principal[citation:3][citation:6].
*   **Educar sobre riesgos**: Formar a los usuarios sobre los ataques que intentan eludir la 2FA (como el phishing y los ataques de intermediario), y enseñarles a no compartir nunca códigos de verificación[citation:2][citation:8].

== Elusión de 2FA: Ataques Comunes ==

Aunque 2FA es una defensa sólida, los atacantes han desarrollado técnicas para intentar eludirla. Es importante conocerlas:

*   **Ataques de Intermediario (MITM)**: El atacante se sitúa entre el usuario y el servicio legítimo. El usuario cree que está en el sitio web real, pero en realidad está en uno falso, donde el atacante captura las credenciales y el código 2FA en tiempo real para autenticarse en el sitio auténtico[citation:8].
*   **Ataques de Fatiga MFA / Bombardeo**: El atacante inicia múltiples intentos de inicio de sesión, enviando al usuario una avalancha de notificaciones push 2FA. Cansado de rechazarlas, el usuario podría aprobar una accidentalmente, dándole acceso al atacante[citation:1][citation:4].
*   **Clonación de SIM**: Los ciberdelincuentes duplican la tarjeta SIM del usuario y así interceptan los mensajes SMS con códigos OTP[citation:1][citation:4].
*   **Phishing Avanzado**: Los atacantes crean páginas de inicio de sesión falsas que no solo roban la contraseña, sino que también simulan la interfaz de 2FA para pedir el código y capturarlo[citation:1].

== Relación con otros conceptos ==

*   '''[[Autenticación, Autorización y Auditoría (AAA)]]''': 2FA es un componente clave de la "Autenticación" en el modelo AAA. Asegura que quien accede al sistema es quien dice ser, antes de que el sistema decida qué puede hacer (Autorización) y registre lo que ha hecho (Auditoría)[citation:8].
*   '''[[Tríada CIA]]''': 2FA protege directamente la '''confidencialidad''' de los datos al asegurar que solo las personas autorizadas pueden acceder a ellos, reduciendo el riesgo de que personas no autorizadas los lean o roben.
*   '''[[Principio de Mínimo Privilegio]]''': Al garantizar la identidad del usuario, 2FA es un paso fundamental para poder aplicar eficazmente el mínimo privilegio, sabiendo con certeza a quién se le están asignando los permisos.
*   '''[[Ingeniería Social]]''': 2FA es una defensa clave contra la ingeniería social, ya que dificulta que un atacante, aunque engañe a un usuario para obtener su contraseña, pueda acceder a la cuenta sin el segundo factor.
*   '''[[Zero Trust]]''': 2FA es un pilar fundamental del modelo Zero Trust ("nunca confiar, siempre verificar"), ya que exige verificar la identidad del usuario en cada sesión, incluso si parece legítimo.

== Véase también ==

*   [[Autenticación, Autorización y Auditoría (AAA)]]
*   [[Tríada CIA]]
*   [[Principio de Mínimo Privilegio]]
*   [[Ingeniería social]]
*   [[Zero Trust]]
*   [[Control de Seguridad]]

----

''Esta página forma parte de la [[:Categoría:Conceptos de seguridad]].''