¿Qué es una aplicación autenticadora?

Una aplicación autenticadora es una herramienta de seguridad que genera códigos de verificación basados en el tiempo utilizando algoritmos criptográficos (como TOTP o HOTP) para añadir una capa extra de protección a tus cuentas.

Las filtraciones de contraseñas ocurren todo el tiempo, y confiar solo en contraseñas ya no es seguro. Es por eso que los principales sitios web y aplicaciones ahora ofrecen Autenticación de Dos Factores (2FA) o Autenticación Multi-Factor (MFA). Las aplicaciones autenticadoras son una herramienta 2FA popular que genera códigos de verificación dinámicos para proteger tus cuentas junto con tus contraseñas.

¿Cómo funciona una aplicación autenticadora?#

Una aplicación autenticadora funciona compartiendo una clave secreta única con el servidor donde se aloja tu cuenta. Cuando configuras por primera vez el 2FA, el servicio genera esta clave secreta y la muestra como un código QR. Una vez que escaneas este código con tu aplicación autenticadora, tanto tu aplicación como el servicio ahora poseen la misma clave secreta, y solo ellos la conocen.

Usando esta clave secreta compartida junto con el tiempo actual, ambos lados pueden generar de manera independiente el mismo código de verificación de 6 dígitos a través de algoritmos estandarizados (típicamente TOTP - Contraseña de un solo uso basada en tiempo). Cuando intentas iniciar sesión, el servicio compara el código que ingresas desde tu aplicación autenticadora con el código que generó - si coinciden, se te concede acceso.

El proceso de configuración es sencillo:

1. El servicio genera una clave secreta única
2. Escaneas el código QR que contiene este secreto con tu aplicación autenticadora
3. La aplicación almacena el secreto de forma segura en tu dispositivo
4. A partir de entonces, ambos lados pueden generar códigos de verificación coincidentes cuando sea necesario

¿Por qué son seguras las aplicaciones autenticadoras?#

Las aplicaciones autenticadoras ofrecen una seguridad impresionante. Según la investigación de Google, bloquean el 99.9% de los ataques automatizados, lo que es un 50% más efectivo que la verificación por SMS. Veamos por qué son tan seguras:

Seguridad matemática#

Imagina el desafío de ingresar:

• Códigos SMS: Como adivinar un número de 6 dígitos (1 millón de posibilidades)
• Clave del autenticador: Como adivinar un número de 80 bits (más combinaciones que átomos en el universo)

Protección basada en el tiempo#

Comparación de validez de códigos:

• Los códigos SMS suelen ser válidos durante 5-10 minutos, creando un riesgo de seguridad significativo
• Los códigos de las aplicaciones autenticadoras se actualizan cada 30 segundos, lo que los hace prácticamente imposibles de explotar

Beneficios de generación offline de las aplicaciones autenticadoras#

• No se necesita transmisión de red
• No hay riesgo de intercepción de SMS
• Inmune a ataques de clonación de tarjetas SIM

¿Por qué los hackers no pueden romper las aplicaciones autenticadoras?#

Piénsalo como una bóveda con una combinación que cambia constantemente:

• Cambia cada 30 segundos
• Requiere tanto "clave secreta" como "tiempo exacto"
• Incluso si se roba un código, el siguiente permanece seguro

Lo que sabes (contraseña) + Lo que tienes (aplicación autenticadora) + Matemáticas basadas en el tiempo = Protección casi inquebrantable

Cómo usar una aplicación autenticadora: Una guía paso a paso#

Aprendamos cómo usar una aplicación autenticadora a través de un ejemplo práctico.

Demostraremos el proceso utilizando el servicio de autenticación de Logto.

Paso 1: Descarga y configura tu aplicación autenticadora desde fuentes confiables#

1. Descarga una aplicación autenticadora confiable:
   • Google Authenticator
   • Microsoft Authenticator
2. Instala la aplicación en tu teléfono
3. Completa la configuración inicial (crea una cuenta si es necesario) según las instrucciones de la aplicación.

Paso 2: Habilita el soporte de aplicación autenticadora para la aplicación demo de Logto#

1. Inicia sesión o regístrate en Logto Cloud, y crea tu primer inquilino según la guía de incorporación.

2. Ve a Consola > Autenticación multifactor, y activa los factores de autenticación OTP de aplicación autenticadora y Código de respaldo y elige "Se requiere que los usuarios siempre usen MFA al iniciar sesión" como política de verificación en 2 pasos, luego haz clic en Guardar cambios.

3. Ve a Consola > Experiencia de inicio de sesión > Registro e inicio de sesión página, selecciona Nombre de usuario como identificador de registro, y elimina Dirección de correo electrónico del identificador de inicio de sesión, luego haz clic en Guardar cambios.

Paso 3: Escanea el código QR para vincular la aplicación autenticadora a tu cuenta en la aplicación demo#

1. Aún en la página de Experiencia de inicio de sesión de la Consola de Logto, haz clic en el botón "Vista previa en vivo" en la parte superior derecha de la sección Vista previa de inicio de sesión". Luego serás redirigido a la página de inicio de sesión de la aplicación demo.

2. Haz clic en el botón crear una cuenta en la página de inicio de sesión, e ingresa tu nombre de usuario y contraseña para crear una cuenta, y luego verás una pantalla que muestra un código QR.

3. Abre tu aplicación autenticadora y escanea el código QR. Luego verás una pantalla que muestra un código de 6 dígitos.

4. Ingresa el código de 6 dígitos para confirmar la vinculación, y luego serás redirigido a una página de código de respaldo. Recuerda guardar el código de respaldo en un lugar seguro.

5. Haz clic en el botón Continuar, ¡y has iniciado sesión correctamente en la aplicación demo!

Paso 4: Intenta iniciar sesión en la aplicación demo con la aplicación autenticadora#

1. Cuando hayas iniciado sesión exitosamente en la aplicación demo, haz clic en el botón Cerrar sesión en la vista previa en vivo para cerrar la sesión en la aplicación demo y regresar a la página de inicio de sesión de la aplicación demo.

2. Intenta iniciar sesión en la aplicación demo con tu nombre de usuario y contraseña, y verás que necesitas ingresar un código de 6 dígitos para iniciar sesión.

3. Abre tu aplicación autenticadora, ingresa el código de 6 dígitos mostrado relacionado con logto.app, ¡y habrás iniciado sesión correctamente en la aplicación demo!

¿Cómo usar las aplicaciones autenticadoras de forma segura?#

Las aplicaciones autenticadoras son seguras, pero necesitas usarlas correctamente para obtener la mejor protección:

Descarga desde fuentes confiables#

• Obtén tu aplicación autenticadora solo de las tiendas de aplicaciones oficiales (Google Play Store, Apple App Store)
• Usa aplicaciones populares de compañías de confianza como Google, Microsoft.
• Cuidado con las aplicaciones falsas: podrían robar tus cuentas

Mantén tus códigos de respaldo seguros#

• Guarda tus códigos de respaldo en algún lugar seguro fuera de línea o en un gestor de contraseñas
• No mantengas los códigos de respaldo en el mismo dispositivo que tu aplicación autenticadora
• Es inteligente almacenar los códigos de respaldo en más de un lugar seguro
• Verifica de vez en cuando que aún puedes acceder a tus códigos de respaldo

Ten cuidado durante la configuración#

Al añadir cuentas a tu aplicación autenticadora:

• Escanea los códigos QR cuando no haya nadie más alrededor
• Nunca tomes capturas de pantalla de códigos QR o claves secretas
• No compartas claves secretas a través de mensajes o correo electrónico
• Si copias una clave secreta, borra tu portapapeles después

Otros consejos de seguridad#

• Usa desbloqueo por huella digital o reconocimiento facial en tu aplicación autenticadora si puedes
• Respalda tu aplicación autenticadora regularmente
• Mantén tu teléfono y aplicación autenticadora actualizados
• Para cuentas importantes, podrías considerar usar una aplicación autenticadora separada

¿Qué hacer si pierdo mi aplicación autenticadora?#

No te preocupes si pierdes tu aplicación autenticadora. Al configurar el 2FA, los servicios proporcionan códigos de respaldo: estos son códigos de emergencia de un solo uso que debes almacenar de forma segura fuera de línea o en un gestor de contraseñas.

Las aplicaciones autenticadoras populares ofrecen funciones de respaldo:

• Google Authenticator: Respaldo en la nube a la Cuenta de Google
• Microsoft Authenticator: Respaldo en la nube y recuperación

Si todo falla, puedes contactar al soporte al cliente para obtener ayuda.