Verificación en dos pasos: códigos, aplicaciones y SMS

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 11 minutos

Objetivo de la lección: Después de esta lección podrá comparar las formas de verificación en dos pasos (SMS, correo, TOTP, notificación push), reconocer los ataques contra ellas y organizar la recuperación para cuando pierda su teléfono.

Conceptos clave: 2FA/MFA, factor (saber, tener, ser), TOTP, secreto compartido, notificación push, fatiga de MFA, sim-swap, códigos de recuperación

Dos pruebas diferentes

Una contraseña es algo que usted sabe. Si se filtra, cualquiera que la conozca puede iniciar sesión. Por eso la verificación en dos pasos (2FA) exige una segunda prueba de otro tipo. Cuando hay más de dos, se habla de autenticación multifactor (MFA); en la práctica, ambos términos se usan indistintamente.

Existen tres tipos de factores:

• Saber: una contraseña o un PIN.
• Tener: su teléfono con una aplicación, una llave de seguridad, una tarjeta.
• Ser: su huella dactilar o su rostro.

Dos veces el mismo tipo no cuenta: una contraseña más una pregunta de seguridad son dos cosas que usted sabe. El NCSC neerlandés recomienda encarecidamente usar MFA en todos los sistemas y cuentas que lo admitan, y especialmente en las cuentas accesibles por internet y las cuentas con permisos de administración. Para una pequeña empresa, esto incluye al menos: el correo, el alojamiento y el registro del dominio, el banco, la contabilidad, la tienda en línea, el gestor de contraseñas y las redes sociales de la empresa.

Las formas, una junto a otra

Cualquier forma es mucho mejor que no tener un segundo paso. Pero la tabla también muestra algo importante: todo lo que implique que usted copia un código o aprueba una notificación puede hacerse en un sitio falso de un estafador. El NIST lo dice sin rodeos en SP 800-63B-4: los métodos en los que usted introduce el resultado a mano no son resistentes al phishing.

Cómo funciona una aplicación de autenticación

Una aplicación de autenticación usa TOTP: Time-based One-Time Password, descrito en la RFC 6238. Funciona así:

1. Al configurarla, el servicio genera un secreto compartido aleatorio, por ejemplo 32 caracteres como JBSWY3DPEHPK3PXP.... Ese secreto está contenido en el código QR que usted escanea, o lo introduce manualmente como "clave manual".
2. Su aplicación y el servicio ahora tienen el mismo secreto. A partir de ese momento no hace falta más contacto entre ambos.
3. Cada 30 segundos, ambos calculan el secreto junto con la hora actual para obtener un código de 6 cifras. Como tienen el mismo secreto y el mismo reloj, obtienen el mismo código.
4. Al iniciar sesión, el servicio compara su código con el resultado que calcula él mismo, normalmente con un margen de un intervalo de tiempo antes o después para compensar un reloj algo desincronizado.

Dos consecuencias:

• El secreto es la auténtica cerradura. Quien vea el código QR o la clave manual puede generar para siempre los mismos códigos que su teléfono. Por eso no haga una captura de pantalla de él, no lo comparta con nadie y no se lo envíe a un compañero.
• El código funciona incluso sin internet y no llega a través de la red telefónica. Por eso TOTP es más seguro que el SMS.

Las aplicaciones de autenticación existen en distintas variantes: independientes en su teléfono, integradas en un gestor de contraseñas, de código abierto o de una gran empresa tecnológica, con o sin copia de seguridad cifrada en la nube. Algunos ejemplos son Aegis, Google Authenticator y Microsoft Authenticator, además de la función integrada en gestores como Bitwarden o 1Password. Una copia de seguridad resulta útil al cambiar de teléfono, pero el NCSC neerlandés advierte: una copia de seguridad mal cifrada también da acceso a un atacante.

Sim-swap: por qué el SMS es la forma más débil

En un sim-swap, un estafador se apodera de su número de teléfono. Hace que su número se transfiera a una tarjeta SIM o eSIM que él mismo controla. Esto se consigue, por ejemplo, haciéndose pasar por usted ante su operador, o haciendo que usted mismo colabore: la Línea de Ayuda en Ciberseguridad de INCIBE (teléfono 017) advierte sobre mensajes SMS y llamadas "en nombre de su operador" que afirman que su tarjeta SIM debe validarse o cambiarse urgentemente a una eSIM.

En cuanto esto se consigue:

• su teléfono de repente se queda sin cobertura y usted no puede llamar ni enviar SMS;
• el estafador recibe todos los códigos por SMS, incluidos los códigos de "contraseña olvidada" de servicios que usan su número como método de recuperación;
• a veces puede llegar a apropiarse de cuentas solo con su número.

Lo complicado es que usted no lo nota hasta que su teléfono deja de funcionar, a menudo por la noche o en fin de semana. Por eso el NIST califica el SMS como un método limitado, y señala que los servicios deben prestar atención a señales como una nueva tarjeta SIM o un número que ha sido transferido. El NCSC neerlandés recomienda evitar el SMS siempre que sea posible, ya que los mensajes no están cifrados y pueden interceptarse.

¿Qué puede hacer?

• Elija, siempre que pueda, una aplicación o una passkey en lugar del SMS.
• Elimine su número de teléfono como método de recuperación donde sea un punto débil, o protéjalo adicionalmente.
• Pregunte a su operador si puede establecer un PIN adicional o un control extra para la transferencia de su número.
• ¿Se queda de repente sin cobertura sin motivo aparente? Llame a su operador desde otro dispositivo. No espere.

El SMS sigue siendo mejor que nada. Si un servicio solo ofrece SMS, actívelo de todas formas.

Fatiga de MFA: la notificación que usted descarta

En una notificación push, usted no tiene que copiar nada: su teléfono pregunta "¿Está intentando iniciar sesión?" y usted pulsa Aprobar. Es cómodo, y precisamente por eso se abusa de ello.

En la fatiga de MFA (también llamada bombardeo de notificaciones push), un atacante ya tiene su contraseña. Intenta iniciar sesión una y otra vez, de modo que su teléfono recibe notificación tras notificación, a veces en plena noche. La agencia estadounidense CISA describe cómo las personas acaban pulsando Aprobar por fastidio o por error, o piensan que al menos una de las notificaciones será auténtica. A veces el atacante incluso llama, haciéndose pasar por "soporte técnico", pidiendo que apruebe la notificación.

Un caso real que describe el NCSC neerlandés: unos atacantes accedieron mediante fatiga de MFA a las cuentas de correo de una empresa de software y después las usaron para cometer fraude de facturas.

Las reglas:

• No apruebe nunca una notificación que usted no haya iniciado. Tampoco la vigésima.
• Una notificación inesperada significa que alguien tiene su contraseña. Cámbiela de inmediato y notifíquelo.
• Elija, siempre que pueda, la opción de confirmación de número: la pantalla de inicio de sesión muestra un número que usted introduce en la aplicación. Quien no esté frente a la pantalla de inicio de sesión no podrá aprobar. CISA señala que es un buen paso intermedio, pero más débil que una MFA resistente al phishing.

Recuperación: prepárela antes de perder el teléfono

Su teléfono se cae al agua, se lo roban o se estropea. Sin preparación previa, se queda fuera de sus propias cuentas. Por eso existen los códigos de recuperación (también llamados códigos de respaldo): una lista de códigos de reserva que recibe al configurar la verificación y que cada uno funciona una sola vez.

• No los guarde en el mismo teléfono que su aplicación de autenticación. Imprímalos y guárdelos junto a sus documentos importantes, o consérvelos en su gestor de contraseñas junto al elemento correspondiente.
• ¿Ha usado un código de recuperación? Táchelo. Si se le acaban, genere unos nuevos.
• Asegúrese de tener al menos dos formas de acceder: por ejemplo, la aplicación más los códigos de recuperación, o dos llaves de seguridad.
• Al cambiar de teléfono, transfiera primero sus cuentas y solo después borre el antiguo.
• Conozca cómo funciona el procedimiento de recuperación de sus servicios más importantes. Un buen servicio no restablece su segundo paso simplemente con un correo o una llamada, sino que primero comprueba que realmente es usted.

En la práctica: así se ve

En el entorno de WebOké, Mi WebOké siempre pide un segundo paso después de su contraseña: por defecto, un código por correo electrónico, y puede cambiar a una aplicación de autenticación. En DirectAdmin se llama Autenticación en dos pasos, con códigos de recuperación. En Nextcloud activa TOTP y genera diez códigos de respaldo. En otros proveedores funciona de forma parecida: busque en su perfil o en la configuración de seguridad "verificación en dos pasos", "2FA", "autenticación" o "two-factor".

Los pasos son casi siempre los mismos: escanear el código QR, introducir un código para confirmar, guardar los códigos de recuperación.

Resumen

• 2FA combina dos tipos de factores: saber, tener, ser.
• TOTP funciona con un secreto compartido y el reloj. El secreto (código QR) es la auténtica cerradura: no lo comparta nunca.
• El SMS es la forma más débil por el sim-swap y la interceptación, pero es mejor que nada.
• Fatiga de MFA: no apruebe nunca una notificación que usted no haya iniciado, y cambie entonces su contraseña.
• Los códigos y las notificaciones no son resistentes al phishing; las passkeys y las llaves de seguridad sí lo son (lección 2.4).
• Prepare códigos de recuperación y un segundo método antes de perder su teléfono.

Cuestionario

Ejercicio

Ejercicio A2.3: Vincular una aplicación de autenticación. Recibirá un código QR de una cuenta de práctica "WebOké oefening". Escanéelo con la aplicación de autenticación que prefiera e introduzca dos códigos que aparezcan uno tras otro. El programa comprobará si su aplicación calcula correctamente. El secreto de práctica no tiene ningún valor y se eliminará después de 24 horas; borre después la cuenta de práctica de su aplicación.

Ejercicio D2.3: Activar la verificación en dos pasos en sus cuentas más importantes. Active la verificación en dos pasos en su correo, su alojamiento o registro de dominio, su banco, su contabilidad y su gestor de contraseñas. Guarde los códigos de recuperación en un segundo lugar y responda a la pregunta de qué haría si mañana perdiera su teléfono.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• Verificación en dos pasos en Mi WebOké y configuración de una aplicación autenticadora
• Manual de WebOké 3.2: El código de acceso por correo electrónico (verificación en dos pasos)
• Manual de WebOké 3.3: Usar una aplicación de autenticación
• Manual de DirectAdmin 3.2: Configurar la Autenticación en dos pasos
• Manual de DirectAdmin 3.3: Códigos de recuperación, y qué hacer si pierde su autenticador
• Manual de Nextcloud 3.3: Configurar una aplicación de autenticación y guardar códigos de respaldo
• Manual de Nextcloud 3.10: Teléfono perdido o 2FA perdido: así vuelve a entrar
• Configurar la verificación en dos pasos (2FA) en Nextcloud
• NCSC neerlandés, ¿Cómo elegir un método MFA? (en neerlandés): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Línea de Ayuda en Ciberseguridad de INCIBE: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
• CISA, Implementing Number Matching in MFA Applications (en inglés): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (en inglés): https://www.rfc-editor.org/rfc/rfc6238