Autenticación multifactor (MFA) - Por qué es importante

Lectura de 2 min aprox.

La autenticación multifactor (MFA) es un método para verificar la identidad combinando dos o más factores distintos durante la autenticación. Al combinar varias categorías entre factores de conocimiento (contraseñas), factores de posesión (smartphones, llaves de seguridad) y factores inherentes (huellas dactilares, rostro), refuerza notablemente la seguridad. En un artículo de 2019, Microsoft afirmó que el MFA puede bloquear más del 99,9 % de los ataques de vulneración de cuentas. Un estudio empírico publicado por investigadores de la empresa en 2023 informó de que el MFA reduce el riesgo de vulneración un 99,22 % en el conjunto de la población estudiada y un 98,56 % en los casos en que las credenciales ya se habían filtrado. Google y Apple también están impulsando la activación de MFA por defecto en sus propios servicios.

Casos de uso reales

Cuando una organización impone el MFA, es más realista avanzar en orden de daño potencial que cambiar todas las cuentas a la vez. Por ejemplo, entregar primero llaves de seguridad FIDO2 a las cuentas de administrador y solo después extender las notificaciones de aprobación al resto del personal. Los administradores van primero porque, si se toma el control de una de esas cuentas, el atacante puede modificar incluso la configuración de las cuentas de otras personas. Los factores tampoco tienen la misma fuerza: un código de un solo uso por SMS puede eludirse secuestrando el número de teléfono, mientras que una llave de seguridad frustra el truco de hacerte teclear un código en un sitio falso. La misma lógica sirve para los particulares: añade el MFA primero a las cuentas que son la puerta de entrada para restablecer todo lo demás, es decir, tu correo electrónico y tu gestor de contraseñas.

Comparación de los factores de autenticación

Los tres factores de autenticación y las elecciones prácticas

Los factores de conocimiento prueban «algo que sabes», como contraseñas o PIN; los factores de posesión prueban «algo que tienes», como smartphones o tokens de hardware; y los factores inherentes prueban «algo que eres», como huellas dactilares o el rostro. En la práctica, la autenticación por SMS es vulnerable a los ataques de intercambio de SIM, por lo que se recomiendan en su lugar las aplicaciones TOTP (Google Authenticator, Authy) y las llaves de seguridad FIDO2 (YubiKey). En particular, para instituciones financieras y cuentas de administrador, conviene elegir TOTP o llaves de hardware.

La diferencia con la verificación en dos pasos (2FA)

La verificación en dos pasos (2FA) se refiere a «autenticar en dos pasos», mientras que el MFA se refiere a «autenticar con dos o más factores distintos». Por ejemplo, un método que pide una pregunta de seguridad después de introducir la contraseña consta de dos pasos, pero como ambos son factores de conocimiento, no puede llamarse MFA. La combinación de una contraseña y un código TOTP es un factor de conocimiento más un factor de posesión, por lo que es verificación en dos pasos y, al mismo tiempo, MFA. Desde el punto de vista de la seguridad, combinar factores de categorías diferentes es más importante que el número de pasos.

Puntos clave para implementar y operar el MFA

Combinar una contraseña aleatoria de longitud suficiente (un factor de conocimiento) con una aplicación TOTP o una llave de seguridad (un factor de posesión) logra una autenticación multifactor robusta. Una consideración clave durante la implementación es el almacenamiento seguro de los códigos de recuperación. Para prepararse ante la pérdida o avería de un dispositivo, configura siempre un método de autenticación de respaldo. En entornos corporativos, es eficaz hacer obligatorio el MFA en toda la empresa junto con una política de contraseñas, e informar a los empleados sobre la guía de configuración de la verificación en dos pasos.