La autenticación es el proceso de identificar a una persona real como usuario del sistema. Para la persona, este proceso habitualmente consiste en introducir su usuario y su contraseña en la pantalla de inicio de sesión. La aplicación admite diversos tipos de autenticación.
Para que la experiencia sea más segura es posible activar la autenticación en dos pasos (2FA).
¿Cómo funciona?
La autenticación en dos pasos es un método de seguridad de administración de identidad y acceso que requiere dos formas de identificación. Combina dos esquemas:
- La contraseña se corresponde con el esquema Sé algo.
- El PIN temporal con Tengo algo (el teléfono móvil o el escritorio). En realidad se trata de una fórmula híbrida porque requiere la tenencia de un objeto (el teléfono o el escritorio) y el conocimiento de una clave temporal (el PIN temporal).
Además:
- Para utilizar la autenticación en dos pasos es necesario instalar una App (Autenticador 2FA) en el móvil y configurar la cuenta que se va a proteger.
- Puede realizarse de manera manual, aunque lo más común es escanear un código QR que incluye toda la información de la cuenta y su configuración, es el token QR.
- El token QR incluye una clave secreta que la aplicación utiliza para generar códigos numéricos que cambian cada cierto tiempo, por ejemplo, cada 30 segundos.
El inicio de sesión
Durante el inicio de sesión con la Autenticación 2FA suceden dos pasos:
El primer paso con autenticación:
- El usuario ingresa su contraseña.
- El servidor verifica la contraseña y, si es correcta, el usuario está calificado para el segundo paso.
En el segundo se pueden dar dos situaciones.
- El usuario no dispone del número secreto (OTP key).
- El usuario ya dispone del número secreto (OTP key).
Si el usuario no dispone del número secreto
- El servidor
- Genera un token QR que contiene un número secreto y otros datos internos.
- En la aplicación se muestra el QR y una caja de texto para la entrada de un PIN temporal.
- El usuario
- Escanea el QR con una App (Autenticador 2FA, p.ej. FreeOTP+) y añade a su lista de OTP key.
- Con su App (OTP key) genera el PIN temporal.
- Informa el PIN temporal antes de que transcurra el tiempo acordado; lo que dura el PIN temporal; p.ej 30s.
- El servidor
- Verifica el PIN temporal y, si es correcto, el usuario está calificado para iniciar la sesión.
- Guarda el número secreto en la tabla de usuario. Ahora el usuario ya dispone del número secreto.
El usuario ya dispone del número secreto
- El servidor
- En la aplicación se muestra una caja de texto para la entrada de un PIN temporal.
- El usuario
- Con su App (OTP key) genera el PIN temporal.
- Informa el PIN temporal antes de que transcurra el tiempo acordado; lo que dura el PIN temporal; p.ej 30s.
- El servidor
- Verifica el PIN temporal y, si es correcto, el usuario está calificado para iniciar la sesión.
La aplicación de tipo autenticador 2FA
El usuario necesita una aplicación de tipo autenticador 2FA; lo que se denomina App. Las hay diversas, aplicaciones de móvil aunque también podrían ser de escritorio, por ejemplo:
- Google Authenticator (Google LLC) genera códigos de verificación en dos pasos en el teléfono. La verificación en dos pasos refuerza la seguridad de la cuenta, al requerir un segundo paso de verificación cuando se inicia sesión. Además de la contraseña, se debe proporcionar un código que la aplicación Google Authenticator genera en el teléfono.
- 2fast | Two Factor Authenticator. 2fast (acrónimo de two factor authenticator supporting TOTP) es un autenticador de dos factores gratuito y de código abierto para Windows con la capacidad de almacenar los datos confidenciales encriptados en el lugar en que se selecciones en lugar de una ubicación en la nube de un tercero.
