Verificación en dos pasos

Un código de seis dígitos tiene exactamente 1 000 000 de valores posibles, así que un ladrón que tiene tu contraseña y dispone de cinco intentos tiene 1 posibilidad entre 200 000.

Un ladrón tiene tu contraseña. ¿Qué probabilidad tiene de acertar el código?

Empieza con un acertijo. Alguien te ha robado la contraseña, pero el sitio también pide un código de seis dígitos, y el ladrón tiene cinco intentos. ¿Qué probabilidad hay de que acierte por suerte? Calcúlalo en el ejercicio de abajo antes de seguir leyendo.

Seis dígitos van de 000000 a 999999, es decir, 10⁶ = 1 000 000 de códigos. Cinco intentos dan una probabilidad de 5 entre 1 000 000, o 1 entre 200 000. Con solo la contraseña, el ladrón ya estaba dentro. Con el código, casi nunca. Esa diferencia es lo que te da la autenticación multifactor.

Tres tipos de prueba, y por qué dos contraseñas siguen siendo una

La autenticación multifactor (MFA), a menudo llamada verificación en dos pasos o en dos factores, pide pruebas de más de un tipo de factor. La CISA clasifica los tipos en algo que sabes (una contraseña o un PIN), algo que tienes (un teléfono o una llave de seguridad) y algo que eres (una huella o tu cara). Dos contraseñas siguen siendo un solo tipo. El consejo de la CISA para todos es activar la MFA en cada cuenta que la ofrezca, empezando por el correo, las redes sociales y las cuentas financieras. El correo va primero porque allí llegan los enlaces para restablecer contraseñas. Quien controla tu bandeja de entrada puede restablecer casi todo lo demás.

Códigos que se pueden reenviar y llaves que no

Las opciones habituales difieren en lo bien que resisten. Un código enviado por mensaje de texto o por llamada viaja por la red telefónica. El NIST lo clasifica como autenticador restringido. Sigue estando permitido, pero los servicios deben ofrecer una alternativa y advertir a los usuarios de los riesgos, y deberían vigilar señales como un cambio reciente de SIM o una portabilidad del número, porque los delincuentes pueden convencer a una compañía telefónica de pasar tu número a su SIM. Un código de una aplicación de autenticación se genera en tu teléfono y nunca cruza la red. Las notificaciones push te piden tocar Aprobar. A veces los delincuentes envían decenas de avisos con la esperanza de que toques uno para que paren, así que la CISA recomienda la coincidencia de números, en la que escribes un número que aparece en la pantalla de inicio de sesión.

Todos estos métodos pueden caer en el phishing. Una página de inicio de sesión falsa te pide el código, lo escribes y el delincuente lo pasa al sitio real en segundos. El NIST dice claramente que los métodos que implican escribir un código a mano no son resistentes al phishing, porque nada vincula el código con el sitio real. La CISA llama a la MFA resistente al phishing el estándar de oro y dice que el único tipo ampliamente disponible es FIDO/WebAuthn: llaves de seguridad y llaves de acceso, que, como mostró la unidad anterior, solo responden al sitio para el que fueron creadas. Cualquier MFA sigue siendo mucho mejor que ninguna.

Antes de que se pierda el teléfono

Cuando activas la verificación en dos pasos, la mayoría de los servicios muestran una lista de códigos de recuperación de un solo uso. El NIST los llama secretos de consulta. Son tu forma de volver a entrar si pierdes el teléfono, así que guárdalos en un lugar seguro y separado del teléfono: impresos y guardados en casa, o en un gestor de contraseñas. Nunca los pegues en un correo a ti mismo y nunca le leas uno a alguien que te llame. Ningún equipo de soporte auténtico lo necesita.

Planifica la pérdida o el cambio de teléfono antes de que ocurra. La mayoría de los servicios te dejan registrar más de un segundo factor, por ejemplo una aplicación de autenticación y una llave de seguridad, o una llave de acceso en dos dispositivos. Cuando cambies de teléfono, pasa tu aplicación de autenticación o tus llaves de acceso al teléfono nuevo antes de borrar el viejo. Si pierdes un teléfono, inicia sesión con un código de recuperación u otro factor y quita el dispositivo perdido de cada cuenta.