Protege tu información con la verificación en dos pasos

Una y otra vez aparecen en los medios noticias sobre ataques informáticos a gran escala. Los cibercriminales se aprovechan de las bases de datos de foros, grandes plataformas web o tiendas online para obtener direcciones de correo electrónico y contraseñas y lograr, así, acceso no autorizado a las cuentas de sus víctimas. También los llamados ataques de phishing son responsables de poner información sensible en manos de personas poco escrupulosas. Uno de los caminos más seguros para proteger tu cuenta de prácticas criminales consiste en el llamado proceso de autenticación de dos factores o verificación en dos pasos, un mecanismo que solo permite el acceso a una cuenta tras una segunda comprobación de identidad. En este artículo mostramos en qué consiste, cómo funciona en la práctica y cuáles son las ventajas e inconvenientes de este procedimiento.

La autenticación de dos factores combina dos componentes diferentes e independientes para la identificación de un usuario autorizado. Un ejemplo sencillo de este tipo de verificación se lleva a cabo diariamente en los cajeros automáticos o en las cajas de los supermercados. Para retirar dinero o pagar la compra siempre se requieren dos factores: la tarjeta de débito y el PIN (o firma). Así, la verificación en dos pasos solo funciona cuando ambos factores se combinan correctamente. El mismo principio se puede aplicar para proteger las cuentas de correo electrónico o en tiendas electrónicas u otros grandes portales web.

Sin embargo, una abrumadora mayoría de las cuentas en Internet solo están protegidas por un componente. Para iniciar sesión en una cuenta de correo electrónico, en servicios en la nube o en tiendas online solo es necesario introducir una única contraseña, con lo que, si esta llegara a caer en manos de personas no autorizadas, tendrían acceso inmediato a correos electrónicos sensibles, datos de cuentas o archivos personales. Para evitarlo, proveedores como Dropbox, Google o Amazon están implementando crecientemente una autenticación de dos factores en sus servicios como medida de seguridad adicional. Este proceso puede ser muy diferente, ya que las opciones para combinar los factores son muy amplias.

La información necesaria para determinar los factores puede ser diversa. Sin embargo, los factores más importantes y ampliamente utilizados son:

• Tarjeta de acceso o token de seguridad
• PIN (Número de identificación personal)
• Códigos de autorización bancaria
• Contraseñas
• Características biométricas (por ejemplo, huellas digitales, voz, iris)

Todos estos factores permiten la legítima identificación de una persona, pues son elementos que la persona sabe, tiene o que están absolutamente ligados a ella (“conocer”, “tener”, “saber”). El ejemplo del cajero automático muestra que en el día a día los tokens de seguridad se combinan con otros factores. Este método tiene la desventaja de que las personas autorizadas siempre tienen que llevar el token consigo, lo que en situaciones de descuido (p. ej., al introducir mal la clave) puede resultar en un acceso denegado.

Por esta razón, con tendencia creciente se aplican mecanismos para la autenticación de dos factores en Internet que no necesitan un token de seguridad o que, al menos, previenen o minimizan el riesgo en caso de pérdida. Por lo general, además de una contraseña, el sistema genera automáticamente un código que es enviado a los usuarios a través de SMS, correo electrónico o por medio de una app de autenticación especial. Esto asegura que únicamente la persona que esté en posesión de estos códigos de seguridad adicionales tenga acceso a la información. La ventaja: el código solo es válido una vez y pierde su validez automáticamente después de un determinado periodo.

La verificación en dos pasos sin token de seguridad o tarjeta de acceso también tiene la ventaja de que los métodos de recepción secundarios pueden ser definidos usando el código de seguridad. Así, por ejemplo, si no tienes acceso a la aplicación, puedes definir como alternativa si quieres recibir un SMS o una llamada con el código.

Con otros servicios la configuración es igualmente sencilla. Amazon, Microsoft, Apple y casi todas las grandes compañías ofrecen opciones similares a sus clientes. La baja difusión de la autenticación de dos factores plantea la cuestión de si, además de mayor seguridad, esta también implica ciertos inconvenientes.

El hecho de que la verificación en dos pasos aumente la seguridad ya representa en sí mismo muchos beneficios. Sin embargo, para los usuarios, un fallo en el sistema o algún descuido por su parte genera el riesgo de bloquearse a sí mismos, con lo que la autenticación de dos factores no solo representa un obstáculo para cibercriminales, sino para el mismo usuario. Como este tipo de autenticación está diseñada para proteger las cuentas online mediante una combinación de “saber” (contraseña, etc.) y “tener” (smartphone al que se envía el código de seguridad), se pueden presentar problemas si, por ejemplo, el usuario pierde su móvil –pues automáticamente será excluido como usuario legítimo. Otro factor que no se puede ignorar son los problemas técnicos con las aplicaciones de autenticación.

Afortunadamente, para estos casos existe un código de autenticación que se puede añadir como alternativa. El también llamado “doble fondo” ofrece la posibilidad de incluir un segundo número de teléfono como opción de recuperación, al que el servicio puede enviar los códigos de seguridad. En estos casos es común que se proporcione un código de emergencia (que se puede imprimir o apuntar) o que se solicite una dirección de correo alternativa para restaurar el acceso a la cuenta. Así, desde otra perspectiva, lo que al principio parece un inconveniente tiene solución. Recuerda que durante la configuración de este tipo de procedimientos es importante tomar las medidas de seguridad con seriedad, a menos que sea opcional y no obligatorio, y documentar la información de acceso de emergencia con cuidado. Esto reduce enormemente el riesgo de bloquearse a sí mismo.