¿Qué es el OTP?

La contraseña de un solo uso (OTP) es un código de autenticación de un solo uso que el usuario introduce para demostrar su identidad; se genera para un único inicio de sesión o transacción y deja de ser válido tras su uso o al transcurrir un breve plazo de caducidad. Versa utiliza la OTP como paso de autenticación multifactorial para el registro y el inicio de sesión de los clientes en SASE .

Puntos clave

• El OTP es un código de un solo uso que complementa o sustituye a una contraseña fija.
• Los métodos de entrega incluyen SMS, correo electrónico y códigos temporales generados por la aplicación.
• TOTP y HOTP son los dos estándares algorítmicos de OTP más utilizados.
• Los plazos de validez cortos limitan los daños derivados del phishing o del robo de credenciales.
• Versa Admite OTP por SMS o correo electrónico y TOTP para la autenticación de clientes de « SASE ».

En esta página: Por qué es importante · Cómo funciona · Tipos · OTP y Versa · Preguntas frecuentes

¿Por qué es importante la OTP?

Las contraseñas estáticas están diseñadas para ser reutilizables, y eso es precisamente lo que las hace peligrosas: una vez que una contraseña se filtra a través de una brecha de seguridad o una página de phishing, un atacante puede volver a utilizarla hasta que se cambie. El OTP rompe ese patrón. Dado que cada código es válido para un solo uso o durante un breve intervalo de tiempo, un OTP capturado carece de valor para un atacante momentos después de que el usuario legítimo lo haya utilizado, y los ataques de «credential stuffing» fracasan rotundamente contra un inicio de sesión protegido con OTP.

Esa característica convierte a la OTP en uno de los mecanismos de autenticación multifactorial más utilizados, tanto en el sector bancario como en los servicios en la nube y el acceso remoto empresarial. Su implementación es económica —no se necesita ningún dispositivo físico cuando se envía por SMS, correo electrónico o una aplicación— y aumenta el coste de la apropiación de cuentas. En las arquitecturas «Zero Trust», en las que cada solicitud de acceso se verifica en lugar de considerarse fiable por defecto, la OTP es un factor de seguridad adicional estándar que se superpone a una contraseña o un certificado.

¿Qué es el OTP?

Un sistema OTP funciona de una de estas dos formas. En el modelo «fuera de banda», un servidor genera un código aleatorio en el momento del inicio de sesión y lo envía a través de un canal independiente —normalmente por SMS o correo electrónico— que el usuario introduce a su vez en el formulario de inicio de sesión. En el modelo algorítmico, el cliente y el servidor comparten un secreto establecido durante la configuración, y cada uno calcula de forma independiente el mismo código a partir de ese secreto, sin que se transmita ningún código por la red hasta que el usuario lo introduzca.

En ambos modelos, el servidor comprueba que el código enviado coincida con el valor esperado y solo lo acepta una vez, únicamente dentro de su periodo de validez y solo para la cuenta a la que se ha asignado. A partir de ese momento, el código se descarta; para realizar un nuevo intento es necesario un código recién generado, lo que hace que los ataques de repetición resulten ineficaces contra las cuentas protegidas con OTP.

Tipos de OTP

Dos estándares del sector definen el modelo algorítmico. El HOTP (contraseña de un solo uso basada en HMAC) deriva cada código a partir de un secreto compartido y un contador incremental, por lo que el código solo cambia cuando se solicita uno nuevo, lo cual resulta útil para los tokens de hardware que carecen de reloj. El TOTP (contraseña de un solo uso basada en el tiempo) genera cada código a partir del secreto compartido y la hora actual; por lo tanto, los códigos rotan automáticamente cada 30 segundos o cada pocos minutos; este es el modelo en el que se basan la mayoría de las aplicaciones de autenticación, que se configuran escaneando un código QR una sola vez.

El OTP basado en la entrega es un tercer modelo, más que un algoritmo de generación: el servidor crea el código y lo envía por SMS o correo electrónico al iniciar sesión, sustituyendo la aplicación de autenticación por la necesidad de disponer de un número de teléfono o un buzón de correo electrónico que funcionen. Sigue siendo habitual porque no requiere instalar ninguna aplicación, aunque está más expuesto a ataques de suplantación de SIM y de compromiso del buzón de correo que un código generado localmente.

OTP y Versa

El clienteVersa SASE admite la OTP como uno de sus factores de autenticación multifactorial, junto con TOTP, certificados x509, LDAP, RADIUS y SAML. Durante el registro y el inicio de sesión, el usuario que realiza la autenticación de dos factores introduce la OTP recibida en su correo electrónico o a través de un servidor de mensajes móviles; una vez validada, se completa el registro. Los administradores habilitan esta función configurando un perfil de autenticador en la política del portal de acceso seguro: el OTP por SMS o correo electrónico requiere ajustes SMTP en el perfil, mientras que el TOTP requiere un tipo de autenticador basado en el tiempo y que NTP esté habilitado en el dispositivo VOS para que el servidor y la aplicación del usuario permanezcan sincronizados.

Tanto Versa Director como Concerto admiten la configuración de OTP y TOTP para portales de acceso seguro, y un mecanismo OTP independiente permite a los administradores generar un código de corta duración desde la herramienta de generación de protección contra manipulaciones de Versa para autorizar la desactivación de la protección contra manipulaciones del cliente.

Preguntas frecuentes

¿Cuál es la diferencia entre OTP y TOTP?

OTP es la categoría general: cualquier código de autenticación de un solo uso, independientemente de cómo se genere o se envíe. TOTP es un estándar específico de OTP que obtiene el código a partir de un secreto compartido y la hora actual, por lo que se regenera automáticamente cada 30 segundos o cada pocos minutos.

¿Cuánto tiempo es válida una contraseña de un solo uso (OTP)?

Depende de la implementación, pero los códigos de un solo uso (OTP) generados algorítmicamente suelen ser válidos entre 30 segundos y unos minutos antes de caducar, momento en el que se requiere un nuevo código. Los OTP basados en la entrega, enviados por SMS o correo electrónico, suelen tener un plazo de validez similar.

¿Es lo mismo el OTP que la autenticación de dos factores?

No. La autenticación de dos factores (2FA) es el concepto más amplio que consiste en exigir dos factores diferentes para acreditar la identidad. El OTP se utiliza habitualmente como segundo factor en un proceso de 2FA, junto con una contraseña estática o un certificado como primer factor, aunque la 2FA también puede utilizar una llave de hardware o datos biométricos.

¿Cómo envía Versa las contraseñas de un solo uso (OTP) a los usuarios de los clientes de SASE ?

Versa Envía códigos OTP por SMS o correo electrónico para la autenticación de dos factores estándar, o bien como un código TOTP generado por una aplicación de autenticación después de que el usuario escanee un código QR durante el registro. Ambos métodos se configuran a través de un perfil de autenticación en Versa Director.

¿Qué ocurre si un OTP caduca antes de que lo envíe?

El código deja de ser válido y el intento de inicio de sesión o de registro falla. El usuario debe solicitar o generar un nuevo código: en el caso de TOTP, la aplicación de autenticación genera el siguiente automáticamente; en el caso de OTP por SMS o correo electrónico, el portal vuelve a enviar un código nuevo.

Más información sobre OTP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre OTP, te recomiendo que eches un vistazo a lo siguiente.