Identificación en dos pasos: todos los métodos disponibles y sus ventajas e inconvenientes

Como su nombre indica, la verificación en dos pasos supone que necesitas un paso adicional para confirmar que tú eres tú al iniciar sesión en apps como WhatsApp o juegos como Fortnite. Ahora bien, este segundo paso puede realizarse de distintas maneras, cada una con sus ventajas e inconvenientes.

Hoy te contamos todos los métodos disponibles como verificación en dos pasos, así como cuáles son sus principales ventajas e inconvenientes, para que te decantes por la opción que mejor se adapte a tus necesidades.

1. Verificación por SMS

La verificación mediante mensaje SMS ha sido una de las más populares y extendidas en la actualidad. Supone que necesitas confirmar tu identidad introduciendo un código que recibes en un mensaje SMS.

Es uno de los métodos más universales, pues casi todo el mundo tiene un número de teléfono personal para uso propio, pero tiene un problema con nombre y apellidos: SIM swap: que alguien duplique tu tarjeta SIM y, por tanto, pueda recibir el código de verificación.

2. Verificación por correo electrónico

La verificación mediante correo es similar a la de SMS, con la única diferencia de que aquí recibes el código por e-mail. Al igual que la verificación mediante SMS, no es especialmente segura, especialmente si el acceso al correo electrónico no está protegido mediante verificación en dos pasos.

Por ejemplo, si alguien tiene el usuario y contraseña de tu cuenta de Microsoft, que has protegido con identificación en dos pasos usando tu cuenta de Gmail, sin protección y con las mismas credenciales, el atacante puede simplemente iniciar sesión y usar el código. Otro tema a tener en cuenta es que es relativamente común dejar la sesión iniciada en casa o por error en otros lugares (trabajo, cafeterías, etc).

3. Pregunta de seguridad

La pregunta de seguridad es un método por el cual antes de iniciar sesión debes confirmar ser quien eres respondiendo correctamente a una pregunta. Esta pregunta y respuesta deben registrarse de antemano, con frecuencia durante el registro de la nueva sesión.

Lo cierto es que la pregunta de seguridad se usa más para recuperar contraseñas perdidas que como segundo factor de identificación, aunque ambos elementos están estrechamente relacionados. Su principal ventaja es que es muy fácil de configurar y activar, pero su seguridad es relativa: muchas respuestas de estas preguntas de seguridad son susceptibles a ser averiguadas mediante ingeniería social.

4. Google Authenticator, Duo y apps similares

Un modo seguro y no demasiado intrusivo de acceder de forma segura a tus contraseñas es con la ayuda de aplicaciones especializadas como Google Authenticator, Duo o Authy. La configuración es relativamente sencilla, y después solo necesitas introducir el código que aparece en la aplicación para poder iniciar sesión.

Este tipo de apps tienen la ventaja de que funcionan incluso sin conexión a la red y el código cambia por si mismo pasados unos segundos. Su principal inconveniente es que sigues necesitando tener el móvil operativo y cargado para iniciar sesión.

5. Códigos en la propia app

Algunos servicios como Facebook usan sus propias aplicaciones para el móvil como generadores de código. El funcionamiento es idéntico al de las aplicaciones como Google Authenticator, pero la diferencia es que no necesitas instalar nada más, sino que puedes reusar la app oficial que -quizá- ya tenías instalada.

Su seguridad es prácticamente la misma que veíamos antes, aunque ten en cuenta que podrías tener varios móviles (o tablets) con la sesión iniciada que se podrían usar para consultar el código. Su principal ventaja es que generalmente no necesitas instalar otra app más en el móvil.

6. Llaves de seguridad

Uno de los métodos de identificación en dos pasos más seguros es mediante una llave de seguridad o dispositivos similares. Esto pueden ser pequeños dispositivos como pequeñas llaves USB, USB-C, NFC, Bluetooth o similares que necesitas conectar para verificar tu identidad.

Entre sus ventajas se cuentan su seguridad y la facilidad de uso, pues simplemente debes mantener el dispositivo conectado para verificar tu identidad, sin introducir ningún código. En cuanto a inconvenientes, necesitas comprar el dispositivo físico y por su pequeño tamaño podrías perderlo, quedándote sin acceso.

7. Biometría (reconocimiento facial, huella...)

Otro modo de verificación seguro se basa en la biometría, es decir, en el uso de lectores de huellas dactilares, iris o reconocimiento facial. La ventaja es que es algo que "llevas encima" siempre, aunque puede ser necesario algún hardware adicional.

Una buena biometría es difícil de hackear (aunque no imposible) y estándares como FIDO2 están simplificando mucho el proceso, aprovechando la biometría almacenada en el móvil (huellas dactilares, etc) para iniciar sesión de forma segura.

8. Códigos de recuperación

Cuando todo lo demás falla, siempre te quedan los códigos de recuperación. Se trata de uno o más códigos para usar en caso de emergencia, cuando ya no tienes acceso al otro método de identificación en segundo paso (por ejemplo, has perdido el móvil o la llave USB).

Los códigos de recuperación no están pensados para usarse como segundo factor, y tienen la desventaja de ser una especie de llave maestra que debes poner a buen recaudo, pues si alguien consigue estos códigos probablemente pueda iniciar sesión saltándose otras protecciones activadas como biometría o generadores de códigos.