Protocolos de autenticación: tipos, ejemplos y casos de uso

A medida que se multiplican los vectores de ataque digitales, la identidad digital ha sustituido al perímetro de red tradicional como principal frontera de seguridad. Las organizaciones ya no dependen únicamente de cortafuegos físicos; en su lugar, cada solicitud de acceso —ya proceda de un empleado en remoto, de un servicio en la nube o de un dispositivo IoT— debe verificarse de forma continua.

Los protocolos de autenticación constituyen el conjunto de reglas fundamentales que determinan cómo se intercambian y validan las credenciales y cómo se establece la confianza en las redes. Elegir la pila de protocolos adecuada no es un mero detalle técnico: repercute directamente en la exposición de la organización a las amenazas basadas en la identidad, en la productividad de los usuarios y en el cumplimiento normativo.

¿Por qué son importantes los protocolos de autenticación de red?

La identidad es el principal vector de las brechas de seguridad actuales. Según el Verizon Data Breach Investigations Report (DBIR), más del 80 % de las brechas en aplicaciones web se deben a credenciales robadas, débiles u obtenidas por fuerza bruta. Los atacantes explotan activamente los mecanismos de autenticación heredados mediante técnicas sofisticadas:

• Phishing y Adversary-in-the-Middle (AiTM): los atacantes montan servidores proxy para interceptar en tiempo real códigos de acceso, contraseñas y tokens de sesión tradicionales basados en tiempo.
• Credential stuffing y fuerza bruta: bots automatizados prueban miles de millones de combinaciones filtradas de usuario y contraseña contra los portales corporativos.
• Pass-the-Hash y Pass-the-Ticket: los ataques de movimiento lateral dentro de los entornos corporativos explotan debilidades arquitectónicas de protocolos de dominio antiguos como NTLM y Kerberos.

Implementar protocolos de autenticación modernos y seguros elimina estos vectores de ataque, ya que suprime los secretos estáticos y establece una prueba criptográfica de la identidad. Además, estandarizar la autenticación en todo su ecosistema agiliza el aprovisionamiento, reduce los costes de la mesa de ayuda asociados al restablecimiento de contraseñas y facilita la generación de informes de cumplimiento.

¿Qué es un protocolo de autenticación?

Un protocolo de autenticación es una secuencia criptográfica diseñada para verificar la identidad de una entidad (un usuario, un dispositivo o una aplicación) que solicita acceso a un sistema, una red o un recurso. A diferencia de la autorización —que determina qué acciones puede realizar un usuario una vez dentro—, la autenticación responde simplemente a la pregunta: «¿Es usted quien dice ser?»

Estos protocolos se basan en tres factores principales de identidad:

1. Algo que usted sabe: contraseñas, PIN o secretos compartidos.
2. Algo que usted tiene: llaves de seguridad de hardware, tarjetas inteligentes o aplicaciones de autenticación.
3. Algo que usted es: datos biométricos como la huella dactilar, el reconocimiento facial o el reconocimiento del iris.

Desde el punto de vista técnico, los protocolos de autenticación definen los patrones exactos de intercambio de mensajes, los algoritmos matemáticos (como RSA, ECC o HMAC) y las estructuras de datos que se utilizan entre tres roles principales:

• Cliente / Supplicant: la entidad que solicita el acceso.
• Relying Party (RP) / Service Provider (SP): la aplicación o el recurso que aloja el punto de control de acceso.
• Identity Provider (IdP) / servidor de autenticación: el motor central que valida las credenciales y emite los tokens de autorización.

Principales tipos de protocolos de autenticación

Los protocolos de autenticación han evolucionado al ritmo de los cambios de arquitectura: los protocolos modernos admiten servicios web distribuidos, identidades federadas en la nube y la autenticación sin contraseña junto a los sistemas tradicionales basados en dominio.

Estos protocolos y estándares cumplen fines distintos: unos verifican la identidad del usuario o del dispositivo (autenticación), otros permiten el acceso delegado a recursos (autorización), y los estándares de federación permiten intercambiar información de identidad entre sistemas de confianza. En la práctica, suelen funcionar de forma conjunta para proporcionar un acceso seguro en los entornos empresariales.

 

FIDO2 / WebAuthn y CTAP

• Qué es: FIDO2 es un conjunto de estándares para la autenticación sin contraseña y multifactor basada en criptografía de clave pública. Combina la Web Authentication API (WebAuthn), que permite a las aplicaciones web crear y utilizar credenciales de clave pública, con el Client to Authenticator Protocol (CTAP), que permite la comunicación entre un dispositivo cliente y un autenticador externo, como una llave de seguridad de hardware.
• Ventajas principales:
  • Resistente al phishing: las credenciales quedan vinculadas estrictamente a nombres de dominio concretos (vinculación al origen). Los atacantes que operan sitios proxy no pueden reutilizar las firmas criptográficas interceptadas en los dominios legítimos.
  • Sin contraseña: elimina los secretos compartidos estáticos almacenados en servidores centrales; las claves privadas nunca salen del enclave seguro del dispositivo de hardware del usuario.
  • Protección de la privacidad: la verificación biométrica se realiza íntegramente de forma local en el autenticador del usuario y nunca se transmite por la red.
• Casos de uso principales: inicio de sesión sin contraseña en puestos de trabajo corporativos, gestión de accesos privilegiados (PAM), portales web de alta seguridad y aplicaciones de banca para particulares.

SAML 2.0 (Security Assertion Markup Language)

• Qué es: un estándar abierto basado en XML que se utiliza para intercambiar datos de autenticación y autorización entre un Identity Provider (IdP) y un Service Provider (SP). Consulte nuestro análisis detallado sobre qué es SAML y cómo funciona.
• Ventajas principales: permite el Single Sign-On (SSO) empresarial, de modo que los usuarios inician sesión una sola vez con un único conjunto de credenciales y acceden a múltiples aplicaciones web independientes.
• Casos de uso principales: acceso a aplicaciones SaaS corporativas (p. ej., Salesforce, Google Workspace, Microsoft 365) integradas con sistemas de identidad centralizados.

OAuth 2.0 y OpenID Connect (OIDC)

• Qué es: OAuth 2.0 es un marco de autorización que concede a aplicaciones de terceros un acceso delimitado a los recursos del usuario. OpenID Connect (OIDC) amplía OAuth 2.0 con una capa de identidad y emite un ID Token firmado criptográficamente (normalmente estructurado como JSON Web Token o JWT) que acredita ante la aplicación la identidad del usuario autenticado.
• Ventajas principales: estructura JSON ligera y adaptada a las API; optimizada para aplicaciones móviles, Single Page Applications (SPA) y microservicios.
• Casos de uso principales: aplicaciones web y móviles modernas, protección de API RESTful e inicios de sesión federados para consumidores («Iniciar sesión con Google/Apple»).

Kerberos

• Qué es: un protocolo de autenticación de red desarrollado por el MIT que funciona mediante un mecanismo de concesión de tickets y utiliza criptografía de clave simétrica.
• Ventajas principales: evita que las contraseñas circulen por la red; admite la autenticación mutua entre cliente y servidor.
• Casos de uso principales: dominios de Active Directory on-prem, autenticación en la intranet y acceso a recursos compartidos de archivos corporativos.

HOTP / TOTP (RFC 4226 / RFC 6238)

• Qué es: HMAC-Based One-Time Password (HOTP) genera códigos de acceso dinámicos a partir de un contador. Time-Based One-Time Password (TOTP) genera códigos de acceso calculados a partir de una clave secreta compartida y la hora actual (normalmente cambian cada 30 segundos).
• Por qué está perdiendo popularidad: aunque TOTP supuso un avance significativo respecto a las contraseñas estáticas, no es resistente al phishing. Los atacantes que utilizan proxies AiTM automatizados (como Evilginx) pueden engañar a los usuarios para que introduzcan su código TOTP de 6 dígitos en un sitio fraudulento e interceptar tanto la contraseña como la cookie de sesión activa, eludiendo por completo la protección MFA.

Protocolos de red heredados (RADIUS, TACACS+, NTLM)

• RADIUS / TACACS+: protocolos que se utilizan para centralizar la autenticación, autorización y contabilidad (AAA) de los dispositivos de acceso a la red, como VPN, switches y routers.
• NTLM (NT LAN Manager): un conjunto de autenticación heredado de Microsoft y protocolo de desafío-respuesta que funciona sobre conexiones SMB, RPC y HTTP.
• Limitaciones de seguridad: NTLM es muy vulnerable a los ataques de retransmisión (relay), pass-the-hash y fuerza bruta offline. Microsoft recomienda activamente retirar NTLM en favor de Kerberos y de flujos modernos FIDO2/WebAuthn. Los marcos de seguridad actuales exigen de forma explícita la eliminación progresiva de estos protocolos en texto claro o con hashes débiles.

Protocolos de autenticación por caso de uso

Cada contexto operativo requiere una selección de protocolos específica para lograr el equilibrio entre una seguridad de identidad de alto nivel, la compatibilidad técnica y la experiencia de usuario.

 

Single Sign-On (SSO) empresarial y aplicaciones en la nube

• Escenario: un empleado necesita acceder a diario a decenas de aplicaciones web (SaaS, herramientas internas de desarrollo, portales de RR. HH.) sin tener que escribir repetidamente credenciales distintas.
• Protocolos: OpenID Connect (OIDC), SAML 2.0, FIDO2/WebAuthn.
• Tendencia del sector: transición de la autenticación multifactor tradicional de contraseña + TOTP a un SSO sin contraseña basado en FIDO2 en todos los flujos de inicio de sesión. Esto mitiga el phishing AiTM y, al mismo tiempo, elimina la fatiga de contraseñas.

Inicio de sesión en escritorio, puesto de trabajo y dominio (Windows / macOS / Linux)

• Escenario: proteger el acceso local y remoto al sistema operativo en los endpoints corporativos —tanto online como offline— y eliminar a la vez las vulnerables contraseñas locales.
• Protocolos: FIDO2 / CTAP2, Kerberos, tarjeta inteligente / PKI (X.509).
• Tendencia del sector: abandono de NTLM y de las credenciales de dominio basadas en contraseña en favor de soluciones sin contraseña como Windows Hello for Business o de tokens de seguridad de hardware dedicados que se integran de forma nativa en la arquitectura de identidad del endpoint.

Acceso remoto e infraestructura de red (VPN, Zero Trust Network Access)

• Escenario: proteger el acceso a la infraestructura de los trabajadores remotos que se conectan mediante VPN corporativas, redes Wi-Fi (802.1X) y sesiones administrativas SSH.
• Protocolos: EAP-TLS, RADIUS, IPsec, SSH con claves públicas.
• Tendencia del sector: sustitución de las contraseñas estáticas de VPN y de las notificaciones push por la autenticación de cliente basada en certificados (EAP-TLS) integrada con soluciones Zero Trust Network Access (ZTNA).

Tabla comparativa de protocolos de autenticación

Compare los protocolos de autenticación más habituales según su función y su nivel de seguridad.

Cómo elegir un protocolo de autenticación para su empresa

Seleccionar el conjunto de autenticación correcto exige evaluar su deuda técnica actual, su entorno regulatorio y su arquitectura objetivo. Los responsables de ingeniería de seguridad y de infraestructura deberían aplicar un marco de evaluación estructurado en tres pasos.

1. Análisis de la infraestructura

• Identifique sus aplicaciones heredadas frente a las aplicaciones nativas de la nube. Las aplicaciones modernas suelen admitir OIDC o SAML, mientras que las aplicaciones heredadas y los clientes pesados pueden requerir proxies de autenticación u otros mecanismos de integración.
• Evalúe su ecosistema de endpoints (Windows, macOS, Linux, clientes ligeros) para asegurarse de que el sistema operativo nativo admite proveedores de credenciales modernos como WebAuthn o FIDO2 mediante autenticadores de hardware.

2. Transición a Zero Trust y a MFA resistente al phishing

• Alinee la selección de protocolos con las directrices de la CISA (Cybersecurity and Infrastructure Security Agency) sobre MFA resistente al phishing. Priorice FIDO/WebAuthn en los escenarios de autenticación de usuarios compatibles y evalúe la autenticación basada en certificados para los casos de uso de acceso a la red y a dispositivos en los que resulte adecuada.
• Elimine la dependencia de SMS, notificaciones push (expuestas a ataques de MFA fatigue) y códigos TOTP en los sistemas críticos.

3. Correspondencia con normativas y estándares

Los protocolos de autenticación constituyen el mecanismo central para cumplir los estrictos requisitos de los marcos de cumplimiento en ciberseguridad. En lugar de tratar el cumplimiento como un mero trámite, evalúe cómo cada elección de protocolo implementa controles técnicos de seguridad explícitos:

• NIST SP 800-63B: AAL3 exige autenticación basada en hardware, resistencia a la suplantación del verificador, dos factores de autenticación distintos y el cumplimiento de los requisitos criptográficos y de autenticadores aplicables. FIDO2/WebAuthn puede aportar resistencia a la suplantación del verificador, pero el uso de este protocolo por sí solo no garantiza la conformidad con AAL3. La implementación completa de la autenticación debe cumplir todos los requisitos aplicables del NIST.
• PCI DSS 4.0: el requisito 8.3 exige implementaciones robustas de MFA en todos los accesos al Cardholder Data Environment (CDE). Desplegar resistencia al phishing a nivel de protocolo ayuda a evitar el robo de tokens y aborda los riesgos asociados a los ataques adversary-in-the-middle (AiTM).
• HIPAA y GDPR: ambos marcos exigen salvaguardas técnicas, controles de acceso y protección frente a la divulgación no autorizada de datos. Las arquitecturas de protocolos que aprovechan la criptografía de clave pública (como WebAuthn o mTLS) constituyen medidas técnicas sólidas que ayudan a proteger el acceso a los endpoints y a evitar la transmisión de credenciales en texto claro.
• Directiva NIS2: las organizaciones europeas sujetas a NIS2 deben implementar políticas estrictas de gestión de riesgos de ciberseguridad y de control de acceso. Estandarizar la autenticación mediante protocolos federados (SAML 2.0, OIDC) y estándares modernos (FIDO2) dentro de una arquitectura de identidad centralizada favorece la aplicación coherente de las políticas y un control de acceso auditable en todos los entornos de IT.

Implementación estratégica con Hideez

La transición de una infraestructura empresarial desde protocolos heredados basados en contraseñas o TOTP hacia estándares modernos resistentes al phishing puede resultar compleja, sobre todo cuando hay que conciliar entornos de dominio heredados con cargas de trabajo modernas en la nube. La plataforma Hideez Workforce Identity salva esta brecha arquitectónica al ofrecer una infraestructura unificada para la autenticación sin contraseña y resistente al phishing en entornos diversos:

• Seguridad FIDO2 vinculada al hardware: Hideez ofrece llaves de seguridad de hardware dedicadas (Hideez Key) y software de seguridad que se integran de forma nativa con los estándares WebAuthn/FIDO2 y protegen puestos de trabajo, aplicaciones SaaS e infraestructura privilegiada frente a los ataques de phishing AiTM.
• Modernización de sistemas heredados: Hideez permite el inicio de sesión sin contraseña en dominios Windows y el acceso al escritorio sin obligar a rediseñar por completo la infraestructura de Active Directory subyacente. Tiende un puente entre la autenticación local heredada y los Identity Providers modernos en la nube. Más información sobre Hideez AuthShield.
• Gestión centralizada de llaves: para los administradores de IT y los CISO, Hideez Enterprise Server proporciona la gestión centralizada de las llaves de seguridad físicas, las operaciones del ciclo de vida de las identidades, el aprovisionamiento remoto de credenciales y la revocación automatizada de sesiones, lo que simplifica los informes de cumplimiento en los marcos de auditoría NIST, PCI DSS e ISO 27001.

Conclusiones clave

• Elija los protocolos en función de los requisitos de seguridad y de los casos de uso. FIDO2/WebAuthn es una opción sólida para la autenticación de usuarios sin contraseña y resistente al phishing, mientras que Kerberos sigue siendo importante en los entornos de dominio Windows. OIDC y SAML 2.0 dan soporte a la identidad federada y al Single Sign-On (SSO) empresarial.
• Priorice la autenticación resistente al phishing. Las contraseñas y los códigos TOTP pueden verse comprometidos mediante phishing y ataques adversary-in-the-middle (AiTM). FIDO2/WebAuthn y una autenticación basada en certificados correctamente implementada ofrecen una mayor protección frente al robo de credenciales.
• Tenga en cuenta toda la arquitectura de autenticación. La selección de protocolos debe contemplar la compatibilidad de las aplicaciones, las capacidades de los endpoints, la integración con el proveedor de identidad, la seguridad de las sesiones, la recuperación de credenciales y el mantenimiento continuo.
• Modernice la autenticación heredada de forma gradual. Las organizaciones pueden reducir su dependencia de protocolos heredados como NTLM introduciendo métodos de autenticación más robustos sin perder la compatibilidad con la infraestructura y los servicios existentes.
• Alinee los controles de autenticación con los requisitos de negocio y de cumplimiento. Evalúe las necesidades de seguridad de cada entorno, incluidas las aplicaciones en la nube, los servicios de dominio, las VPN, las API y las cuentas privilegiadas. Seleccione protocolos y configuraciones que respalden los controles de acceso y el nivel de garantía de seguridad requeridos.
• Utilice una gestión centralizada de identidades cuando proceda. Integrar estándares de autenticación modernos con la infraestructura de identidad corporativa puede simplificar la gestión de accesos, mejorar la visibilidad y respaldar políticas de seguridad coherentes en aplicaciones y dispositivos.
• Planifique la implementación y la gestión del ciclo de vida. Una autenticación segura requiere una configuración adecuada, gestión de claves y certificados, procedimientos de recuperación de cuentas, supervisión y la retirada oportuna de los métodos vulnerables.

Preguntas frecuentes

¿Cuál es el protocolo de autenticación más seguro?

FIDO2/WebAuthn es una opción sólida para un inicio de sesión de usuarios resistente al phishing. Los métodos basados en certificados también sirven para la autenticación de red y de cargas de trabajo. La mejor opción depende del recurso, e incluye en la evaluación la recuperación y la protección de la sesión.

¿Puede FIDO2 sustituir por completo a Kerberos?

No de forma directa. FIDO2 puede autenticar a un usuario al iniciar sesión, mientras que Kerberos proporciona tickets para los servicios de dominio. Las implementaciones de Windows compatibles pueden combinar el inicio de sesión sin contraseña con el acceso mediante Kerberos. Prescindir de Kerberos exige modificar las dependencias de autenticación de los servicios que se basan en él.

¿Qué protocolo debo utilizar para la VPN corporativa?

Para las VPN con soporte de federación, utilice SAML u OIDC con MFA resistente al phishing en el IdP. La autenticación basada en certificados es otra opción sólida. Con RADIUS, evalúe el método de autenticación subyacente y la protección del transporte.

Hideez reúne llaves de hardware FIDO2, inicio de sesión sin contraseña en dominios Windows y gestión centralizada de llaves para que usted pueda retirar NTLM, TOTP y las contraseñas estáticas sin reconstruir su pila de identidad. Reserve una demo para determinar los protocolos adecuados para su entorno, o únase al programa de partners para ofrecer autenticación resistente al phishing a sus clientes.