La autenticación de dos factores (2FA) exige que el usuario acredite su identidad mediante dos factores distintos antes de que se le conceda el acceso; normalmente, una contraseña y un código de un solo uso enviado por correo electrónico, SMS o una aplicación móvil. Esto añade una segunda verificación independiente, de modo que la filtración de una contraseña por sí sola no pueda comprometer la seguridad de una cuenta.
Puntos clave
- La autenticación de dos factores (2FA) añade una segunda forma de verificar la identidad, además del nombre de usuario y la contraseña.
- Los códigos se reciben por SMS, correo electrónico, una aplicación de autenticación o mediante una notificación push.
- Titan Portal y Director permiten a los administradores activar la autenticación de dos factores (2FA) por usuario u organización.
- Una contraseña robada por sí sola no permite acceder una vez que se ha activado la autenticación de dos factores (2FA).
- FIDO y las claves de seguridad físicas ofrecen una autenticación de dos factores (2FA) más segura que los códigos por SMS.
En esta página: Por qué es importanteCómo funcionaTiposAutenticación de dos factores (2FA) y VersaPreguntas frecuentes
¿Por qué es importante la autenticación de dos factores (2FA)?
Una contraseña es un secreto único y estático: en cuanto se filtra —ya sea por phishing, una brecha de seguridad o por reutilizarla en diferentes sitios web—, cualquiera que la tenga puede iniciar sesión como si fuera el titular de la cuenta. La autenticación de dos factores (2FA) subsana esa vulnerabilidad al exigir un segundo factor que es mucho menos probable que posea el atacante, por lo que una contraseña robada por sí sola deja de ser suficiente.
Esto es especialmente importante en el caso de los inicios de sesión administrativos y de acceso remoto, en los que una sola credencial comprometida puede poner en peligro toda una red, en lugar de un único buzón de correo. Los marcos de seguridad consideran cada vez más la autenticación multifactorial como un control básico —y no como una opción— para cualquier elemento relacionado con sistemas sensibles. Para los operadores de red, habilitar la autenticación de dos factores (2FA) en las consolas de gestión y los clientes VPN es una de las medidas más eficaces y económicas disponibles contra los ataques basados en credenciales.
¿Qué es la autenticación de dos factores (2FA)?
Los factores de autenticación se dividen en tres categorías: algo que sabes (una contraseña), algo que tienes (un teléfono, un token o una llave de hardware) y algo que eres (una huella dactilar o un escaneo facial). La autenticación de dos factores (2FA) combina exactamente dos de estos factores; lo más habitual es una contraseña más un factor de posesión: un código de un solo uso enviado a un teléfono o correo electrónico registrado, o generado por una aplicación de autenticación.
Al iniciar sesión, el usuario introduce el nombre de usuario y la contraseña como de costumbre. Si ambos son correctos y se requiere la autenticación de dos factores (2FA), el sistema solicita el segundo factor antes de conceder el acceso. El usuario obtiene el código —a través de un SMS, un correo electrónico o una aplicación— y lo introduce dentro de un breve plazo de validez. La sesión solo se inicia una vez que se han verificado ambos factores y, una vez que un administrador habilita este requisito, el usuario final no suele poder desactivarlo.
Tipos de autenticación de dos factores (2FA)
Los códigos por SMS y correo electrónico son los métodos de envío más habituales: el sistema genera un código numérico corto y lo envía a un número de teléfono o una dirección de correo electrónico registrados, con una validez de unos minutos. Son fáciles de implementar, pero dependen de la seguridad de la red telefónica o del buzón de correo. Las aplicaciones de autenticación generan contraseñas de un solo uso basadas en el tiempo (TOTP) de forma local en el dispositivo, lo que elimina el riesgo de interceptación de los SMS. La aprobación mediante notificaciones push envía una solicitud de inicio de sesión a una aplicación de confianza, y el usuario simplemente la aprueba o la rechaza. FIDO y las claves de seguridad de hardware constituyen el nivel más seguro: una clave física demuestra la posesión de forma criptográfica y resiste el phishing de una manera que los códigos de un solo uso no pueden, pero requieren un proveedor de identidad que las respalde.
Autenticación de dos factores (2FA) y Versa
Versa admite la autenticación de dos factores (2FA) en todas sus interfaces de gestión. En Versa, los administradores pueden habilitar la autenticación de dos factores junto con servidores de autenticación externos —Active Directory, LDAP, RADIUS o TACACS+— mediante un código enviado por correo electrónico o SMS. La configuración añade usuarios a un grupo (Versa-2FA-Enabled (en Active Directory o LDAP) para que el conector sepa qué cuentas necesitan el segundo factor; un administrador lo activa para cada usuario, y el usuario ya no puede desactivarlo. Los factores más seguros, como FIDO, combinan el inicio de sesión único (SSO) con un proveedor de identidad compatible.
En el portal deTitan , la autenticación de dos factores (2FA) es una opción que se puede activar o desactivar para cada usuario al añadir o editar cualquier cuenta —administrador de empresa, usuario de empresa, administrador de tienda, MSP o distribuidor— y es mutuamente excluyente con la autenticación SSO externa en la misma cuenta. Los perfiles de cliente de Secure Access (VSA) de Versa también incluyen una opción de autenticación de dos factores para los usuarios locales de VSA, aunque no se aplica a los usuarios autenticados mediante Active Directory.
Preguntas frecuentes
¿Cuál es la diferencia entre la autenticación de dos factores (2FA) y la autenticación multifactorial (MFA)?
La autenticación de dos factores (2FA) es un caso concreto de la autenticación multifactorial (MFA) que utiliza exactamente dos factores. La MFA es la categoría más amplia y puede requerir dos, tres o más factores —una contraseña, una llave de hardware y una verificación biométrica, por ejemplo— dependiendo del grado de rigor de la política.
¿Puede un usuario desactivar la autenticación de dos factores una vez que el administrador la haya activado?
No, ni en Versa Director ni en Titan Portal. Una vez que un administrador activa la autenticación de dos factores para una cuenta, el usuario final no puede desactivarla; solo un administrador u otro usuario autorizado puede desactivarla, lo que evita que un único inicio de sesión comprometido desactive la protección de forma silenciosa.
¿Es segura la autenticación de dos factores (2FA) basada en SMS?
Es mejor que una contraseña por sí sola, pero menos segura que una aplicación de autenticación o una llave de hardware, ya que los SMS pueden ser interceptados mediante el intercambio de tarjetas SIM o ataques a la red. Las recomendaciones de seguridad se inclinan cada vez más por los códigos generados por aplicaciones o las llaves FIDO para las cuentas que requieren una protección más sólida.
¿Se pueden utilizar conjuntamente la autenticación de dos factores (2FA) y el inicio de sesión único (SSO)?
Depende de la plataforma. En el portal Versa Titan , la autenticación de dos factores (2FA) integrada y la autenticación SSO externa son mutuamente excluyentes por cuenta. En Versa Director, los métodos multifactoriales más seguros, como FIDO, se gestionan a través de SSO con un proveedor de identidad compatible, en lugar del flujo de 2FA integrado.
¿Es necesario tener un teléfono para la autenticación de dos factores?
No siempre. El teléfono móvil es la opción más habitual para recibir códigos SMS, notificaciones push de aprobación o utilizar una aplicación de autenticación, pero la autenticación de dos factores (2FA) también puede basarse en el envío de correos electrónicos o en una llave de seguridad física, por lo que una cuenta que no disponga de un dispositivo móvil a mano puede activar igualmente un segundo factor de autenticación que funcione correctamente.
Más información sobre la autenticación de dos factores (2FA)
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| NIST SP 800-63B: Directrices sobre identidad digital | OWASP: Guía rápida sobre la autenticación multifactorial |
|---|---|
| Las directrices federales del NIST sobre los tipos de autenticadores y los niveles de garantía, que constituyen el marco de referencia en el que se basan la mayoría de las políticas de autenticación de dos factores (2FA). | Orientaciones prácticas para la implementación de un segundo factor de autenticación sin introducir nuevas vulnerabilidades. |
Términos relacionados
Si estás leyendo sobre la autenticación de dos factores (2FA), te conviene echar un vistazo a lo siguiente.
| Contraseña de un solo uso | Servicio de autenticación remota de usuarios de acceso telefónico | Versa Acceso seguro |
|---|---|---|
| El código de un solo uso —por correo electrónico, SMS o generado por un algoritmo— que suele servir como segundo factor en la autenticación de dos factores (2FA). | Un director de protocolo AAA externo puede integrarse con la autenticación de dos factores (2FA), de modo que el código de autenticación complemente una contraseña verificada por RADIUS. | El servicio de acceso remoto basado en cliente cuyos perfiles de usuario locales incluyen su propio control de activación de la autenticación de dos factores. |