¿Qué es Autenticación 2FA?

Saber qué es Autenticación 2FA resulta indispensable para el usuario moderno de servicios digitales. Cada vez más sitios en Internet recurren al 2FA para fortalecer el proceso de autenticación y garantizar el acceso legítimo a los datos de sus clientes o usuarios. En años recientes se ha popularizado el 2FA en los sitios de bancos, tarjetas prepago, servicios financieros online e incluso instituciones gubernamentales. En general, en todos aquellos sitios que manejan datos críticos. La autenticación 2FA también se conoce como verificación en dos pasos o en dos factores.

¿Qué es Autenticación 2FA conceptualmente?

2FA son las siglas, en inglés, de two-factor authentication y, como cabría esperar, consiste en cualquier esquema de autenticación basado en 2 factores. Es un caso particular de la autenticación multifactorial. En un sistema informático la autenticación se refiere al proceso de comprobar la identidad de un usuario del sistema, es decir, verificar que el usuario es quien dice ser. Cuando nos referimos a 2FA, al usuario se le exigen 2 pruebas de identidad, elegidas entre:

Algo que el usuario conoce. Por ejemplo, una contraseña o PIN.

Algo que el usuario posee. Por ejemplo, una tarjeta de débito.

Algo que el usuario es. En este caso se recurre a los atributos biométricos, como las huellas dactilares, el rostro, la voz, el reconocimiento del iris o algunos patrones de movimiento.

Como podemos notar, en el retiro de efectivo en los cajeros automáticos o ATMs usamos 2FA: el usuario debe comprobar su identidad con dos factores, su tarjeta de débito (algo que posee) y un PIN (algo que conoce). La idea en general es reducir las probabilidades de acceso inapropiado al sistema.

Hay muchos esquemas para implementar 2FA. Lo importante es que se soliciten dos factores de verificación de identidad al usuario. Podemos enviar SMS al celular registrado por el usuario y solicitarle que ingrese un código enviado, o podemos recurrir a hardware especializado que genera un token de acceso compatible con la cuenta del usuario.

Contraseñas de un sólo uso

El esquema 2FA que incluye solicitar al usuario contraseñas de un sólo uso OTP (One-Time Password) tiene la ventaja de su dinamismo: si las contraseñas son interceptadas por un atacante luego de que el usuario realizó login en el sistema, el atacante no podrá utilizarlas, pues la clave sólo conserva vigencia para un único uso. Las OTP también son más resistentes contra los ataques de fuerza bruta.

El detalle con las OTP es: ¿cómo generar estas claves? Una opción bastante popular es usar aplicaciones de autenticación como Google Authenticator o Authy. Resulta bastante sencillo: una vez instaladas estas aplicaciones en tu celular, visitas los sitios web que requieren acceso con 2FA. Luego tienes que vincular ese sitio web con tu aplicación de autenticación. Por lo general esa vinculación significa escanear en la aplicación, en tu celular, un código QR exclusivo para tu cuenta de usuario en ese sitio web. Así Authy o Google Authenticator crearán un vínculo o entrada para ese sitio web específico que requiere 2FA. Luego, cada vez que intentes ingresar al sitio web, se te solictará un usuario y contraseña (como los de toda la vida) pero también tendrás que suministrar un código 2FA. Para obtener ese código simplemente abre tu aplicación de autenticación en tu teléfono móvil, y revisa la entrada correspondiente al sitio web. La aplicación generará una serie de dígitos que debes ingresar en el sitio web en el lugar donde solicita el código 2FA. Y listo. Estos códigos 2FA tienen una vigencia muy corta, y la aplicación de autenticación los regenera luego de unos segundos, así que tienes que ingresar un código 2FA mientras aún está vigente. Si te demoras y el código expira, tendrás que usar el nuevo código generado por la aplicación.

En ocasiones, haces todo bien pero cada vez que colocas el código 2FA el sitio web indica que el código es inválido. Primero asegúrate de que estás usando el código 2FA correspondiente al sitio web. Con el tiempo tu aplicación de autenticación, digamos, Google Authenticator, se irá llenando de entradas: una para este banco, otra para aquel otro sitio, otra para tu tienda online, y así. Asegúrate de que estás ingresando el código generado para el sitio específico al que quieres acceder. La otra causa, bastante frecuente, es una pérdida de sincronización de la aplicación en tu celular con la hora oficial (revisa si la hora en tu celular ha cambiado por algún motivo, o si cambió la zona horaria). En este caso, revisa los ajustes de la aplicación para ubicar la opción de sincronizar, o ajusta la hora de tu celular. En todo caso, nunca olvides que los fallos siempre están a la orden del día con las aplicaciones de software.

He estado hablando de autenticadores para celular, pero Authy tiene también otras versiones, como la de escritorio en Windows. Además Authy te permite sincronizar tus vínculos con sitios web en todos los dispositivos donde instales Authy. Pero Google Authenticator también cumple con lo esencial, que es simplemente la generación de un código 2FA.

Espero que esta información les resulte útil ^^