La autenticación en 2 pasos o 2FA por sus siglas en inglés ( 2 Factor Authentication) se ha convertido en un standard para mejorar la protección de cuentas y acceso a servicios, el Centro Nacional de Ciberseguridad (NCSC) recomienda 2FA para cuentas de alto valor para grupos de hackers, por ejemplo de administradores de sistemas, personas que laboran en gobiernos, sector financiero y servicios críticos.
En síntesis la autenticación en dos pasos es,
como su nombre lo sugiere, un paso adicional al password para que un usuario pueda autenticarse, eso elimina los riesgos asociados a un password comprometido. Si un atacante hackea, captura o adivina un password débil, ya no es suficiente para entrar al sistema porque necesitará la aprobación en el segundo factor que usualmente es cambiante o depende de una confirmación manual.
Existen muchos métodos de autenticación distintos, pero en general todos funcionan de forma similar:
El usuario introduce su nombre y password
El password se valida en un servidor y si es correcto, el usuario se vuelve elegible para el segundo factor
Un servicio autenticador genera y envía un código único al usuario usualmente a su correo electrónico o a una aplicación independiente.
El usuario confirma su identidad con este código
Al introducir exitosamente ambos factores de identificación, el usuario puede acceder al sistema
Como se mencionó anteriormente, parte del secreto para que un segundo factor de autenticación sea seguro es que genera un código único y lo envía al usuario a través de un canal totalmente independiente del sistema original, así dificulta a un potencial atacante interceptar esa confirmación.
Para garantizar que el código generado sea válido en el sitio que lo solicita se deben sincronizar con un código, usualmente a través de un código QR, que será la base para crear un cifrado que únicamente tendrá efecto en un servicio específico , por un tiempo limitado.
Entre los programas más populares para generar códigos de autenticación están:
Google Authenticator ( Recomendado )
Es un programa completamente gratuito, funcional y tiene una gran base de usuarios. Soporta múltiples cuentas para autenticar y es de uso fácil e intuitivo.
Está disponible para Android, iOS y hasta como extensión de Chrome.
LastPass
El autenticador de Lastpass es un módulo adicional e independiente del popular administrador de passwords, puedes descargarlo para Android y iOS
1Password
1password es un popular administrador de passwords y tiene incorporado el sistema de autenticación y generación de códigos para 2FA, incluso en su versión de escritorio puede leer códigos QR desde la pantalla. Si ya usas 1Password solo debes activar esta funcionalidad.
Microsoft Authenticator
Finalmente, si prefieres la alternativa de Microsoft, puedes usar Microsoft Authenticator con un buen soporte de cifrado y seguridad, disponible para Android y iOS.
Modyo tiene soporte nativo para autenticación en dos pasos y activarla solo toma unos minutos.
Para administradores:
Cualquier administrador de un sistema modyo puede forzar a que todo usuario utilice autenticación en dos pasos que se encuentra en la sección de Ajustes > Seguridad
Una vez que se habilite y guarde esta opción todos los usuarios del sistema tendrán acceso únicamente a través de un proceso de autenticación en dos pasos.
Para usuarios
Una vez que un administrador active la autenticación en pasos tienes que
1 - Descargar un autenticador de los mencionados más arriba, si no sabes cual usar, google authenticator es la mejor opción.
2 - Ingresar con tu usuario y password
3 - Escanear el código QR que te va a mostrar el sistema para sincronizar tu autenticador con modyo.
4 - Si es la primera vez que realizas el proceso, debes volver a insertar tu usuario y password para verificar tu identidad.
5 - Cuando el sistema lo solicite, debes insertar el código que genera google para el sitio en el que trabajas. Atención que si tardas mucho, el código se vuelve a generar y debes insertar el código más reciente.
Ahora tu sitio está protegido de ataques de terceros y pérdidas de passwords
Photo by Lianhao Qu on Unsplash.
Carlos Solís
Descubre cómo Domain Driven Design te permite construir aplicaciones que se alinean perfectamente con tu negocio. Aplica DDD en arquitecturas de microservicios y micro frontends para crear soluciones más escalables y adaptables, aprovechando el potencial de Modyo.
Carlos Solís
La depuración es una parte esencial del desarrollo de software. Nos permite identificar y corregir errores, optimizando el rendimiento y la estabilidad de nuestras aplicaciones
Carlos Solís
Optimizar imágenes es esencial para cualquier sitio web, sobre todo si buscas que cargue rápido y ofrezca una buena experiencia de usuario