¿Qué es la autenticación de factores múltiples (MFA)?

¿Cómo sabe que alguien es quien dice ser? En resumen, esa es la pregunta que pretende responder la autenticación.

Este es el problema: Confirmar la identidad es más difícil que nunca. Los nombres de usuario y las contraseñas no bastan, por lo que muchas empresas recurren a la autenticación de factores múltiples (MFA).

¿No conoce la MFA? ¿Tiene curiosidad por saber cómo puede proteger su empresa? Siga leyendo para conocer todo lo que necesita sobre la MFA y por qué es una parte esencial de su postura de ciberseguridad.

Según el Instituto Nacional de Normas y Tecnología (NIST), la MFA es un método de autenticación que requiere más de un “factor de autenticación” distinto para utilizar un sitio web, una aplicación o un sistema.

Un factor de autenticación es una credencial de seguridad que verifica la identidad de un usuario cuando intenta acceder a un recurso concreto. Por ejemplo, cuando alguien inicia sesión en una cuenta de correo electrónico, suele introducir un nombre de usuario y una contraseña. Estas credenciales son una forma de identificación que indica que la solicitud de acceso procede de una persona legítima y no de un impostor.

La MFA pretende hacer más seguro este proceso exigiendo al menos un factor adicional, de ahí el nombre de “autenticación de factores múltiples”. ¿Por qué? Cuando los hackers comprometen las credenciales de inicio de sesión, pueden obtener acceso no autorizado a recursos clave e información sensible.

Supongamos que los ciberdelincuentes crackean una cuenta que pertenece a un usuario privilegiado (por ejemplo, alguien con permiso para acceder a sistemas informáticos críticos y realizar actividades que los usuarios normales no están autorizados a hacer). Pueden filtrar montones de datos confidenciales, como números de seguridad social, información financiera, etc. Una filtración de datos podría dar lugar al robo de la identidad de los empleados o clientes y tener importantes repercusiones para la empresa con un costo promedio de 4,45 millones de dólares.

En resumen, ahí es donde entran en juego las soluciones de MFA. Con el sistema adecuado, las organizaciones pueden proteger las identidades de trabajadores, consumidores y ciudadanos mediante capas de autenticación sólidas.

¿Cuál es la diferencia entre la MFA y la autenticación de dos factores (2FA)?

La MFA y la 2FA son conceptos muy similares, pero no estrictamente iguales.

En pocas palabras, la 2FA es un método de autenticación que requiere exactamente dos identificadores, ni más ni menos. Por tanto, es un subconjunto de la MFA, que requiere dos factores como mínimo.

En teoría, la MFA suele ser más segura que la 2FA porque puede abarcar tantos autenticadores como se desee para cualquier caso de uso específico. Cada factor adicional dificulta el acceso no autorizado, interponiendo otra capa de protección entre los hackers y la información sensible.

Dicho esto, la 2FA no es insegura por defecto. Sigue siendo mucho mejor que confiar en la autenticación de factor único, ya que las protecciones de contraseña tradicionales son demasiado vulnerables a las ciberamenazas modernas.

Ejemplos de MFA

¿Cómo utilizan las organizaciones las soluciones de MFA? He aquí dos de los casos de uso más comunes:

1. Acceso remoto para los empleados: Solo en Estados Unidos, un tercio de los empleados remotos trabaja desde su casa de forma habitual. A medida que aumenta el trabajo híbrido en todo el mundo, las empresas deben ofrecer a los usuarios un acceso remoto seguro a los recursos críticos. Las soluciones de MFA permiten identificar y proteger las identidades de los trabajadores mientras se adaptan a la comodidad del trabajo desde cualquier lugar.
2. Acceso al sistema in situ: Del mismo modo, los sistemas locales, como los de los hospitales, son almacenes vitales de información protegida. Con la solución de MFA adecuada, los empleados pueden utilizar tarjetas de proximidad junto con credenciales para acceder a las bases de datos de pacientes de forma rápida y segura.

El proceso depende del método de MFA exacto que se utilice. Sin embargo, independientemente de los detalles, el flujo de trabajo suele ser el siguiente:

• Inicio de sesión de usuario: El usuario introduce su nombre de usuario y contraseña.
• Solicitud de autenticación: Si el inicio de sesión principal se realiza correctamente, el sistema solicita un factor adicional.
• Verificación de la MFA: El usuario proporciona el segundo factor de autenticación, como una contraseña de un solo uso (OTP) generada por una aplicación de autenticación.
  • Tercer factor opcional: Una solución de MFA puede invocar más solicitudes de autenticación si está configurada para ello.
• Autenticación correcta: Si se verifican todos los factores, el usuario obtiene acceso al sistema.

Este proceso suele tardar unos instantes en completarse y apenas afecta a la experiencia del usuario. En última instancia, depende de cuántos factores de MFA necesita, que se dividen en tres categorías: conocimiento, posesión e inherencia.

1. Factor de conocimiento

El factor de conocimiento se refiere a algo que solo el usuario conoce, como una contraseña o un PIN. Los sistemas de MFA han ido añadiendo más factores de conocimiento con el tiempo, siendo el ejemplo más común la respuesta a una pregunta secreta (por ejemplo, el apellido de soltera de la madre, la mascota del instituto, etc.).

Sin embargo, este es el factor más débil de todos los factores de MFA porque se puede adivinar fácilmente. Por ejemplo, a los hackers no les cuesta mucho esfuerzo obtener respuestas a preguntas secretas de perfiles de redes sociales, ya que a menudo se basan en información personal. Del mismo modo, también son susceptibles de sufrir ataques de phishing.

2. Factor de posesión

El factor de posesión incluye algo que solo tiene el usuario. Hoy en día, existen varios tipos avanzados de verificación basada en la posesión, por ejemplo:

• OTP: Contraseñas de un solo uso enviadas por correo electrónico o SMS.
• Notificación push: Alertas enviadas al dispositivo móvil del usuario solicitando la confirmación de la solicitud de acceso; la idea es que solo el propietario disponga del dispositivo. 
• Token de hardware: Claves FIDO2 y otros dispositivos físicos que los usuarios conectan a una computadora de escritorio. Contienen información cifrada que autentifica la identidad del usuario.
• Tarjeta de cuadrícula: Tarjetas en papel impresas a partir de archivos PDF que contienen una cuadrícula de filas y columnas formadas por números y caracteres. Los usuarios deben facilitar la información correcta en las casillas correspondientes de la tarjeta única que poseen.

3. Factor de inherencia

El factor de inherencia incluye información inherente al usuario concreto. En comparación con los otros dos factores (algo que sabe y algo que tiene), es más fácil considerar la inherencia como algo que es. Por lo que también se denomina autenticación biométrica, ya que aprovecha métodos de MFA tales como los siguientes:

• Huellas dactilares
• Escaneado de retina
• Reconocimiento de voz
• Reconocimiento facial

Dado que la autenticación biométrica es innatamente difícil de eludir, los factores basados en la inherencia se encuentran entre las opciones más seguras disponibles.

Factores adicionales de la MFA

Además de los tres identificadores primarios, las soluciones de vanguardia pueden utilizar tres factores de MFA emergentes:

• Horario: Evalúa el intento de acceso en función de los tiempos de uso previstos. Si una solicitud se produce fuera del horario laboral, la solución puede requerir un factor adicional. 
• Ubicación: Las soluciones de MFA pueden validar las solicitudes en función de la ubicación geográfica o la dirección IP, garantizando que proceden de una posición autorizada.
• Comportamiento: Este factor analiza patrones de usuario, como la dinámica de pulsación de teclas, para confirmar la identidad basándose en acciones históricas o habituales.

En conjunto, estos factores refuerzan la MFA clásica con mecanismos de seguridad más sofisticados. Fundamentalmente, también permiten la MFA adaptativa, pero hablaremos de ello más adelante.

Los hackers atacan las identidades a un ritmo imparable. En 2023, más de 8200 millones de registros fueron robados en ataques basados en credenciales, incluidos 3400 millones en una única vulneración de datos. Por supuesto, los impactos pueden ser devastadores: fraude, usurpación de identidad, infracciones de la normativa, pérdidas monetarias, daños a la reputación y la lista continúa.

Por desgracia, muchas empresas no están suficientemente preparadas para afrontar las amenazas basadas en la identidad. Según un estudio de 2023, el 61 % de las organizaciones afirmó que la seguridad de la identidad digital es una de las tres principales prioridades. Sin embargo, solo el 49 % había implementado plenamente la MFA. Si hubieran contado con una solución de MFA eficaz, habrían reducido sus probabilidades de hackeo en un 99 %.

MFA y Zero Trust

De hecho, la MFA es una respuesta adecuada a las ciberamenazas pasadas y presentes, pero también es vital para un futuro ciberresistente. En otras palabras, es un componente imprescindible de la seguridad de Zero Trust.

Zero Trust es un marco de seguridad moderno que hace hincapié en la autenticación sólida, no solo una vez, sino continuamente a lo largo de una sesión. Con un sistema robusto de MFA, como parte de la plataforma de gestión de identidad y acceso (IAM), las empresas pueden implementar rápidamente uno de los tres pilares del marco. ¿El resultado? Mucha menos exposición a accesos no autorizados y ataques basados en la identidad.

Ventajas y retos de la MFA

¿Por qué preocuparse por la MFA? Para empezar, aporta numerosas ventajas: 

• Seguridad de datos mejorada: La MFA protege contra la fatiga de contraseña, los ataques de phishing y otras amenazas basadas en credenciales, lo que reduce el riesgo de apropiación de cuentas.
• Cumplimiento mejorado: También ayuda a las organizaciones a cumplir diversos requisitos reglamentarios y normas del sector. Cuando se utiliza la MFA, las organizaciones pueden demostrar su compromiso con la protección de los datos.
• Mayor confianza: Cuando los clientes saben que una organización utiliza medidas de seguridad sólidas, como la MFA, aumenta su confianza en la seguridad de los datos personales y financieros.
• Reducción de costos: La MFA ayuda a las organizaciones a evitar los cuantiosos gastos asociados a la respuesta ante incidentes, los honorarios de abogados, las multas reglamentarias y los daños a la reputación. Además, la MFA puede reducir la necesidad de restablecer contraseñas y otros costos relacionados con la asistencia, ya que es menos probable que los usuarios vean comprometida su cuenta.

Sin embargo, cabe señalar que la MFA tiene sus retos. Incluyen los siguientes:

• Inconveniencias: Otros factores pueden dar lugar a una experiencia de usuario deficiente, que frustra a empleados y clientes.
• Posibles vulnerabilidades: La MFA es un gran mecanismo de seguridad, pero no es inmune a los ataques. Ciertos vectores de amenaza, como el bombardeo de solicitudes o el intercambio de SIM, dejan más que claro que las organizaciones necesitan el apoyo de una plataforma de IAM con todas las funciones, además de la MFA.

La autenticación adaptativa, también conocida como MFA adaptativa o autenticación basada en riesgos, es un tipo de verificación escalonada. Analiza la información contextual para determinar el nivel de riesgo de cualquier perfil de usuario que solicite acceso a un recurso, aumentando o disminuyendo los requisitos de seguridad en consecuencia.

Más sencillamente, la MFA adaptativa requiere factores adicionales cuando hay una mayor probabilidad de que la solicitud sea ilegítima. Cuanto mayor sea el riesgo, más fuertes serán sus desafíos.

Por ejemplo, la autenticación adaptativa evalúa lo siguiente:

• Número de intentos de inicio de sesión fallidos
• Dirección IP de origen o ubicación geográfica
• Reputación del dispositivo
• Día y hora del intento
• Sistema operativo
• Función del usuario

Si la solicitud de acceso es sospechosa, puede pedir a los usuarios que confirmen su identidad mediante una OTP o una notificación push. Del mismo modo, si todo es normal, es posible que no emita ningún tipo de desafío, ofreciendo así una experiencia de usuario fluida.

¿Preocupado por la implementación de la solución de MFA? Busque un sistema de IAM robusto que no solo incluya la autenticación adaptativa, sino también formas de aumentar sus capacidades. He aquí algunas medidas de seguridad adicionales para tener en cuenta:

1. El inicio de sesión único (SSO) permite a los usuarios acceder a varias aplicaciones con un único conjunto de credenciales de inicio de sesión. Como parte de la cartera de IAM, el SSO mitiga el riesgo de una mala experiencia del usuario al tiempo que aprovecha la seguridad de la MFA adaptativa.
2. La autenticación sin contraseña reduce el riesgo de una higiene deficiente de las contraseñas. En lugar de contraseñas, utiliza la autenticación biométrica y métodos basados en credenciales, como los certificados digitales, para validar las identidades.
3. La autenticación mediante push en dispositivo móvil es un tipo de método de autenticación sin contraseña que envía una notificación push al dispositivo móvil del usuario. Esto permite deslizar o tocar un botón para aprobar transacciones, acceder a aplicaciones o iniciar sesión en aplicaciones empresariales.

Entrust Identity es nuestra cartera de capacidades de gestión de identidad y acceso. Con una sola plataforma de IAM, puede aprovechar todo un conjunto de herramientas de MFA y autenticadores para proteger a sus empleados, consumidores o ciudadanos frente al cambiante panorama de amenazas actual.

Desde la MFA adaptativa hasta la autenticación sin contraseña y mucho más, tenemos todas las medidas de seguridad que necesita para tener éxito.