¿Qué es el MFA?

La autenticación multifactorial (MFA) es un método de autenticación que exige al usuario que presente dos o más factores independientes de identificación —algo que sabe, como una contraseña; algo que tiene, como un código de un solo uso o un certificado de dispositivo; o algo que es, como un dato biométrico— antes de que se le conceda el acceso.

Puntos clave

• La autenticación multifactorial (MFA) requiere dos o más pruebas de identidad independientes, no solo una contraseña.
• Factores comunes: contraseñas, códigos de un solo uso, certificados de dispositivos y datos biométricos.
• Una contraseña robada por sí sola no basta para conceder acceso en el marco de la autenticación multifactorial (MFA).
• Versa Admite la autenticación multifactorial (MFA) mediante TOTP, OTP por correo electrónico y perfiles de certificados de dispositivo.
• Las opciones de diseño de «Trusted-IP» y «local-breakout» influyen en la frecuencia con la que se activan las solicitudes de autenticación multifactorial (MFA).

En esta página: Por qué es importante · Cómo funciona · Tipos · MFA y Versa · Preguntas frecuentes

¿Por qué es importante el MFA?

Las contraseñas por sí solas son una barrera débil: pueden ser objeto de phishing, reutilizarse, adivinarse o filtrarse en caso de brechas de seguridad, y una vez que un atacante se hace con una, un sistema basado únicamente en contraseñas ya no tiene nada más que comprobar. La autenticación multifactorial (MFA) subsana esa deficiencia al exigir una segunda prueba independiente que un atacante rara vez posee, incluso tras haber robado las credenciales: un código procedente de un dispositivo que tiene el usuario real o un certificado vinculado a un dispositivo conocido.

Esto cobra mayor importancia a medida que el trabajo se traslada fuera de la red corporativa. Los usuarios remotos, las sucursales y las aplicaciones en la nube se autentican a través de Internet, donde el «credential stuffing» y el phishing son prácticas habituales. La autenticación multifactorial (MFA) es uno de los controles con mayor rentabilidad disponibles: los analistas atribuyen la mayoría de los ataques exitosos de apropiación de cuentas a la ausencia de un segundo factor. Además, es fundamental para el modelo «Zero Trust», que parte de la base de que ninguna conexión es fiable por defecto y verifica la identidad de forma continua antes de conceder el acceso.

¿Qué es el MFA?

La autenticación multifactorial (MFA) combina factores de al menos dos de las tres categorías. Los factores de conocimiento son algo que el usuario sabe, como una contraseña o un PIN. Los factores de posesión son algo que el usuario tiene, como un teléfono que genera una contraseña de un solo uso, un código recibido por SMS o correo electrónico, o un certificado en un dispositivo registrado. Los factores inherentes son algo que caracteriza al usuario, como una huella dactilar o un escaneo facial.

Un proceso típico comienza con una credencial principal —un nombre de usuario y una contraseña, o un inicio de sesión en un directorio— y, a continuación, solicita al usuario un segundo factor antes de autorizar la sesión. El factor solicitado puede depender del contexto: es posible que a un dispositivo conocido se le solicite este factor con menos frecuencia que a uno desconocido, un patrón denominado «autenticación adaptativa». En cualquier caso, ninguna credencial robada es suficiente por sí sola.

Tipos de MFA

Las implementaciones varían en cuanto al segundo factor que utilizan y cómo llega al usuario. El OTP por SMS o correo electrónico envía un código corto a un teléfono registrado o a la bandeja de entrada; es fácil de implementar, pero depende de la seguridad del canal. El TOTP genera un código de forma local en una aplicación de autenticación a partir de un secreto compartido y la hora actual, lo que evita por completo el envío a través de la red. Las notificaciones push envían una solicitud de aprobación o denegación a una aplicación móvil en lugar de un código introducido manualmente. Las claves de seguridad de hardware o FIDO utilizan criptografía de clave pública vinculada a un dispositivo, lo que ofrece una protección contra el phishing mucho mayor que un código introducido manualmente. La autenticación mediante certificado de dispositivo verifica un certificado en un equipo conocido, normalmente junto con una credencial. La biometría —huella dactilar o reconocimiento facial— suele consistir en un desbloqueo local que se superpone a uno de los métodos anteriores.

Máster en Bellas Artes y Versa

Versa Aplica la autenticación de dos factores (MFA) en todas sus interfaces de gestión y acceso. En Versa Director, los administradores pueden habilitar la autenticación de dos factores para cada usuario, de modo que, tras iniciar sesión, se solicite un código enviado por correo electrónico o SMS; Director no es compatible de forma nativa con FIDO, por lo que las organizaciones que necesiten una autenticación resistente al phishing la combinan con el inicio de sesión único (SSO) en un proveedor de identidad compatible con FIDO, transfiriendo esa garantía a Director, Concerto y el cliente SASE .

Para los usuarios remotos, la autenticación multifactorial (MFA) está integrada en el proceso de registro del cliente de «SASE »: el cliente puede exigir una contraseña de un solo uso basada en el tiempo o un código enviado por correo electrónico antes de que se complete el registro, lo cual se configura mediante el botón de activación de la MFA de la regla de acceso seguro basada en el cliente, y la contraseña de un solo uso basada en el tiempo (TOTP) se envía en forma de código QR escaneable.

La autenticación multifactorial (MFA) también influye en el diseño de la red. La guía de integración de Azure Active Directory y MFA muestra cómo la salida local a Internet puede multiplicar el número de direcciones IP de confianza que un proveedor de identidad debe supervisar; al enrutar el tráfico de autenticación de forma centralizada y dirigir el resto del tráfico SaaS a través de la salida local, las excepciones de MFA se mantienen bajo control sin perder esa ventaja en cuanto al rendimiento.

Preguntas frecuentes

¿Es lo mismo el MFA que la autenticación de dos factores (2FA)?

La autenticación de dos factores (2FA) es un caso concreto de la autenticación multifactorial (MFA) que utiliza exactamente dos factores. MFA es el término más amplio y puede incluir más factores; por ejemplo, una contraseña, un código TOTP y un certificado de dispositivo, todos juntos. Toda configuración de 2FA es MFA; pero no todas las configuraciones de MFA se limitan a dos factores.

¿Cuáles son las tres categorías principales de factores de autenticación?

Conocimiento (algo que sabes, como una contraseña), posesión (algo que tienes, como un teléfono que genera un código o un certificado en un dispositivo registrado) e inherencia (algo que eres, como una huella dactilar o un escaneo facial). La autenticación multifactorial (MFA) combina factores de al menos dos categorías.

¿Admite de forma nativa el Director de « Versa » la autenticación multifactorial (MFA) basada en FIDO?

N.º Versa La autenticación de dos factores integrada en Director envía un código por correo electrónico o SMS. Para utilizar FIDO u otros métodos avanzados, Director debe estar vinculado mediante SSO a un proveedor de identidad compatible con FIDO, el cual, a su vez, transmite esa autenticación más segura a Director, Concerto y el cliente de SASE .

¿Cómo utiliza la autenticación multifactorial (MFA) el cliente de Versa SASE ?

Durante el registro, el cliente de SASE puede exigir un segundo factor —una contraseña de un solo uso basada en el tiempo procedente de una aplicación de autenticación o un código enviado por correo electrónico al usuario— antes de que se complete el registro. La política de la pasarela hacia el cliente también puede exigir la autenticación multifactorial (MFA) como condición para la fase de conexión.

¿Puede una organización reducir las solicitudes de autenticación multifactorial (MFA) sin comprometer la seguridad?

Sí, mediante excepciones de IP de confianza: los proveedores de identidad pueden omitir la autenticación multifactorial (MFA) para el tráfico procedente de direcciones conocidas y de confianza, como un centro de datos. Versa Secure SD-WAN admite esta función enrutando el tráfico de autenticación de forma centralizada, mientras que el resto del tráfico SaaS se gestiona localmente, lo que permite mantener reducida la lista de IP de confianza.

Más información sobre el MFA

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás buscando información sobre los másteres en bellas artes (MFA), te recomiendo que eches un vistazo a lo siguiente.