La autenticación de dos factores (2FA) y la autenticación multifactor (MFA) añaden niveles adicionales de protección al inicio de sesión de una cuenta. Cuando solo tienes que introducir tu nombre de usuario y una contraseña, se considera una autenticación de un solo factor. La autenticación de dos factores requiere que el usuario tenga dos de los tres tipos de credenciales antes de poder acceder a una cuenta. La autenticación multifactor requiere que el usuario tenga los tres tipos de credenciales antes de poder acceder a una cuenta.
Debe proteger cualquier cuenta en línea donde su información de pago, puntos de recompensa, información de identificación personal, dinero, inversiones, criptomonedas, credenciales, registros médicos y tarjetas de pago necesiten estar mejor protegidos. Estas cuentas en línea pueden incluir: Cuentas de banca, finanzas, inversiones, servicios públicos, suscripción, gobierno, salud, compras minoristas, redes sociales y tecnología.
Tres tipos de credenciales de usuario:
- Algo que tu sabes - Contraseña, PIN o Patrón.
- algo que tienes - Teléfono inteligente, tarjeta ATM, tarjeta de identificación, aplicación, token de seguridad FOB, etc.
- Algo que eres - Huella dactilar, reconocimiento facial, voz, comportamiento, ubicación, etc.
¿Por qué el enfoque multifactorial es tan efectivo? Es bastante fácil para los malhechores adivinar contraseñas débiles, especialmente con toda la información personal disponible hoy en día a través de las redes sociales. Pero los piratas informáticos tendrán un gran problema para obtener ese algo que tienes, como el token de seguridad de hardware o software o el teléfono móvil que has autorizado para los mensajes de verificación. Necesitas tener ese teléfono móvil o token en la mano para obtener la información que necesitas para acceder a tu cuenta.
CONSEJO DE EXPERTO - Utilice una forma de autenticación de inicio de sesión de cuenta para iniciar sesión y una segunda forma de autenticación de inicio de sesión de cuenta diferente para la recuperación.
Tipos de métodos de autenticación para iniciar sesión en una cuenta
Mensajes de texto SMS: este es el método en el que se le solicita que ingrese su contraseña y luego un código de un solo uso que se envía por mensaje de texto a su número de teléfono.
Ventajas
- No necesitas un teléfono inteligente costoso para recibir mensajes de texto.
- En algunos casos, el código puede enviarse en forma de llamada automática para que se lean los números en voz alta.
Desventajas:
- Si la batería de tu teléfono inteligente se agota, no podrás recibir mensajes de texto.
- Si viaja al extranjero o no tiene servicio, no podrá recibir mensajes de texto.
- Para recibir mensajes de texto multifactorial, debes proporcionar tu número de teléfono a la empresa que los emite.
- Este método es menos seguro que los demás:
- Los estafadores pueden utilizar estafas de phishing para intentar robar códigos de acceso.
- Los estafadores pueden engañarlo para que ingrese un código en sitios web falsos.
- Los delincuentes pueden clonar su número de teléfono. Esto se conoce como "portación". La portabilidad es cuando un delincuente intercepta el código de texto tomando su número de teléfono celular existente y transfiriéndolo a una cuenta falsa diferente.
Teléfonos y aplicaciones de teléfono: las aplicaciones permiten que su teléfono inteligente actúe como una clave de seguridad.
Si decide utilizar una aplicación móvil, como Google Authenticator, debe escanear un código QR que presenta el sitio que desea visitar en la aplicación. Una vez que lo haga, la aplicación generará continuamente los códigos numéricos necesarios para iniciar sesión. También tiene la opción de imprimir una imagen del código QR para guardarla de forma segura. Si pierde su teléfono, simplemente escanee el código en uno nuevo.
- google Authenticator Está disponible para teléfonos Android e iOS, pero es necesario tener una cuenta de Google para configurarlo.
- Otras aplicaciones populares de autenticación de inicio de sesión de cuenta incluyen Microsoft Authenticator, Authy by Twilio, Symantec VIP y Duo Mobile.
Ventajas
- Como la clave de la aplicación se almacena en tu teléfono, puedes usar este método incluso si el dispositivo no está conectado a una red.
- Si por casualidad alguien logra robar tu número de teléfono, aún necesitará tu teléfono para recuperar la clave de la aplicación.
- Es menos susceptible al phishing porque no depende de un código de acceso.
- Puede recibir notificaciones push a través de la aplicación.
Notificaciones sin una aplicación: en lugar de instalar una aplicación, también puedes configurar un sistema basado en notificaciones push.
- Google Prompt que envía notificaciones a todos los teléfonos que hayan iniciado sesión en su cuenta de Google cuando se detecta un nuevo inicio de sesión. Las notificaciones incluyen información de ubicación para el intento de inicio de sesión. Luego, tiene la opción de aprobar o rechazar el intento. Google Prompts evita el pirateo de cuentas al enviar notificaciones de forma segura solo a los dispositivos en los que haya iniciado sesión.
- Apple Ha adoptado un enfoque similar para sus productos.
Autenticación de factor cero (0FA) - Tecnología emergente para una autenticación móvil sin fricciones.
- En la autenticación de factor cero, el usuario no necesita proporcionar ninguna información para autenticarse al iniciar sesión o para realizar transacciones confidenciales. En cambio, el teléfono inteligente hace el trabajo.
- Al utilizar este método 0FA, la gran mayoría de usuarios legítimos disfrutan de un inicio de sesión sin fricciones, lo que deja una fricción de autenticación adicional para los inicios de sesión de alto riesgo.
¿Qué hace esto posible?
- Los teléfonos inteligentes modernos tienen tecnologías y sensores incorporados.
- La tecnología de ubicación avanzada que se utiliza para la autenticación de factor cero utiliza la combinación de señales de WiFi, GPS, celulares y Bluetooth para identificar entornos de ubicación únicos y es capaz de señalar ubicaciones dentro de un radio de 10 pies. Con esta precisión de ubicación, ahora es posible crear un patrón de comportamiento de ubicación único para cada usuario que se puede utilizar como un identificador único.
- No hay dos usuarios que tengan el mismo patrón de comportamiento de ubicación y el patrón de comportamiento de ubicación de cada usuario es dinámico y cambia constantemente, lo que lo hace extremadamente difícil de imitar o falsificar.
- Si un estafador intenta iniciar sesión en la cuenta de un usuario con credenciales robadas y el patrón de ubicación no coincide, el inicio de sesión se marcará como de alto riesgo y se requerirán pasos de autenticación adicionales para continuar.