¿Qué es una contraseña de un solo uso (OTP)? Definiciones y ejemplos

Una contraseña de un solo uso (OTP) es una cadena de números o caracteres que se genera y se envía a un usuario para que la utilice en un único intento de inicio de sesión o transacción.

Las OTP reducen el riesgo en torno a las contraseñas.

Contraseña olvidadas: Uno de los usos más comunes de las OTP es el caso en el que un usuario ha olvidado su contraseña o han violado su cuenta. Se puede emitir una OTP para que el usuario acceda a su cuenta antes de que se le pida que restablezca su contraseña.

Ataques de reproducción: En un ataque de repetición, se interceptan las credenciales de acceso de un usuario, incluida su contraseña. Si la contraseña es estática, el atacante tendría ahora acceso a la cuenta de ese usuario. Pero cuando se utiliza una OTP, la contraseña interceptada por el hacker ya no es válida, puesto que ya se utilizó una vez cuando el usuario se conectó a su cuenta y, por lo tanto, ya no puede reutilizarse.

Autenticación de factores múltiples: Las OTP pueden añadir una capa adicional de autenticación. Mediante el uso de tokens de seguridad, se pueden generar OTP para que los usuarios los proporcionen como una forma adicional de autenticación, lo que aumenta la seguridad y reduce el riesgo de una violación.

OTP basado en Hash (HOTP): Este tipo de OTP se genera y se envía a un usuario basándose en un algoritmo hash que sincroniza el código OTP con un contador que cambia de forma incremental cada vez que el usuario accede.

OTP basado en el tiempo (TOTP): Este tipo de OTP está basado en el tiempo, ya que proporciona una ventana de tiempo dentro de la cual el código OTP será válido. En general, los pasos de tiempo tienen una duración de 30 a 60 segundos. Si el usuario no introduce el código OTP en el paso de tiempo especificado, debe solicitar uno nuevo.

Las OTP se generan y se envían a los usuarios de forma segura utilizando tokens de seguridad.

Tokens fuertes: Las tarjetas inteligentes, las llaves USB, los sistemas de entrada sin llave, los teléfonos móviles y los tokens Bluetooth son capaces de generar OTP. Un token fuerte puede estar conectada, desconectada o completamente sin contacto.

Tokens blandos: Una notificación push al correo electrónico, a través de un SMS o de una aplicación son las formas comunes de los tokens blandos de OTP.

¿Cuál es la diferencia entre una OTP y una 2FA?

Una OTP puede utilizarse como una forma de 2FA/MFA, pero también puede utilizarse más allá como un mecanismo de seguridad autónomo en el que un usuario recibe una OTP para cada inicio de sesión. Por lo tanto, estos términos no deben usarse como sinónimos, ya que la OTP es solo una de las muchas formas de 2FA/MFA y también puede ser independiente como solución de seguridad propia.

Sí. Las OTP añaden una capa adicional de seguridad a las contraseñas estáticas. Las contraseñas por sí solas son una forma vulnerable de verificación de la identidad, responsables del 81 % de las violaciones de seguridad. Añadir otra capa de autenticación a las contraseñas garantiza una mayor seguridad. Por supuesto, puede prescindir de las contraseñas al no utilizar contraseña.

Sí. Entrust ofrece una amplia gama de soluciones de autenticación que incluye OTP.

La Gestión de identidad y acceso (IAM) es un marco de políticas y tecnologías de seguridad para que las entidades adecuadas accedan a los recursos adecuados en el momento adecuado.

Una entidad puede ser tanto una persona como un dispositivo. Los recursos incluyen aplicaciones, redes, infraestructura y datos. La IAM puede aplicarse a empleados, consumidores y ciudadanos.

IAM se basa en la premisa de establecer y mantener identidades digitales de confianza. Con IAM, las organizaciones pueden autenticar y autorizar entidades para otorgar acceso seguro a los recursos adecuados. Además, la confianza se mantiene a lo largo del tiempo con autenticación adaptativa basada en riesgos que proporciona un desafío escalonado cuando las condiciones lo justifican.