Token de hardware y generador de OTP para la autenticación de dos factores

 

Incluso cuando el usuario sigue las recomendaciones de longitud y complejidad de las contraseñas, en algunos casos no basta para evitar el robo de contraseñas. En aplicaciones web de alta carga, como servicios de correo, banca o incluso Amazon y Facebook, utilizar una autenticación OTP (autenticación con contraseña de un solo uso) supone una forma de evitar los ataques de keylogging. Hideez creó una forma fiable y a prueba de manipulaciones de lograrlo con llaves de seguridad de hardware multifuncionales que pueden generar OTP, almacenar & autocompletar sus contraseñas, y mucho más.

¿Qué significa OTP y cómo funciona?

OTP es una contraseña que es válida únicamente para una sesión de inicio de sesión o una transacción en un sistema informático u otro dispositivo digital. El uso de OTP ayuda a evitar muchas desventajas asociadas a la autenticación tradicional basada en contraseñas (estáticas).

En términos sencillos, un servicio que acepta OTP exige que el usuario seleccione el generador de OTP de su preferencia para entregar esta contraseña dinámica.

Algunas implementaciones de generadores de OTP también incorporan la autenticación de dos factores. Garantizan que la contraseña de un solo uso requiera acceso a algo que la persona tiene (como una Hideez Key con generador de OTP integrado, o un teléfono móvil) así como a algo que la persona sabe (como un PIN).

¿Cuáles son los beneficios de usar un generador de OTP?

La ventaja más importante de las contraseñas dinámicas de un solo uso es que, a diferencia de las contraseñas tradicionales, no son vulnerables a los ataques de repetición. Esto significa que un atacante que logre registrar una OTP ya utilizada para iniciar sesión en un servicio o ejecutar una transacción no podrá usarla, ya que dejará de estar activa. Algunos sistemas de OTP también procuran garantizar que una sesión no pueda ser interceptada o suplantada con facilidad sin conocer datos impredecibles creados durante la sesión anterior, reduciendo aún más la superficie de ataque.

Los algoritmos de generación de OTP suelen emplear pseudoaleatoriedad o aleatoriedad. Esto es necesario porque, de lo contrario, sería fácil predecir futuras OTP observando las anteriores. Los algoritmos de OTP concretos varían de forma significativa en sus detalles.

Existen diferentes tipos de generadores de OTP:
  • Basados en la sincronización horaria entre el servidor de autenticación y el cliente que proporciona la contraseña (como el generador de OTP de Hideez Key)
  • Basados en un algoritmo matemático para generar una nueva contraseña a partir de la contraseña anterior.
  • Basados en un algoritmo matemático en el que la nueva contraseña se basa en un desafío (por ejemplo, un número aleatorio elegido por el servidor de autenticación o los detalles de la transacción) y/o en un contador.

También existen distintas formas de informar al usuario de la siguiente OTP que debe utilizar. Algunos sistemas emplean tokens de OTP de hardware que lleva el usuario. Estos tokens generan las OTP y las muestran en una pequeña pantalla. Otros sistemas consisten en software que se ejecuta en el teléfono móvil del usuario. Otros más generan las OTP en el servidor y las envían al usuario por un canal fuera de banda, como los mensajes SMS. Y, en algunos sistemas, las OTP se imprimen en papel que el usuario debe llevar consigo.

Hideez ofrece una mejor solución para la generación y entrega de OTP. En primer lugar, la llave de seguridad Hideez introduce la OTP directamente en el campo solicitado, lo que no solo ahorra tiempo, sino que evita errores por escribir mal el número. El canal entre la llave y el servicio está cifrado, lo que significa que el código no puede ser interceptado, cubriendo así la vulnerabilidad asociada a las soluciones basadas en SMS. Además, puede usar Hideez Key no solo como generador de OTP, sino como un gestor de contraseñas avanzado, de modo que lo tendrá consigo en el uso habitual y no puede destruirse tan fácilmente como un trozo de papel. Asimismo, ofrecemos a las grandes empresas una solución eficaz para proteger la autenticación mediante nuestro servicio de identidad empresarial.

Si busca una solución de seguridad universal para uso personal, puede considerar tokens como la Hideez Key 5. Y en el caso de los propietarios de empresas, nuestros expertos pueden ayudarle a encontrar la solución personalizable adecuada para su organización, así que no dude en programar una consulta gratuita ahora mismo.

 

Preguntas frecuentes

¿Qué es una contraseña de un solo uso (OTP)?

Una contraseña de un solo uso es una contraseña válida únicamente para una sesión de inicio de sesión o una transacción. A diferencia de una contraseña estática tradicional, no se puede reutilizar, lo que evita muchos de los inconvenientes de la autenticación basada en contraseñas estáticas.

¿Cómo respalda un generador de OTP la autenticación de dos factores?

Algunos generadores de OTP ofrecen también autenticación de dos factores. La contraseña de un solo uso exige algo que la persona tiene, como un Hideez Key con generador de OTP integrado o un teléfono móvil, además de algo que sabe, como un PIN.

¿Por qué usar contraseñas de un solo uso en lugar de contraseñas estáticas?

Las OTP no son vulnerables a los ataques de repetición. Si un atacante registra una OTP que ya se utilizó para iniciar sesión o confirmar una transacción, ya no puede usarla porque deja de estar activa. También ayudan a evitar los ataques de keylogging.

¿Cómo genera e introduce el Hideez Key las contraseñas de un solo uso?

El Hideez Key incluye un generador de OTP e introduce la contraseña de un solo uso directamente en el campo solicitado, lo que ahorra tiempo y evita errores de escritura. Además de generar OTP, funciona como gestor de contraseñas que almacena y rellena automáticamente sus contraseñas.

¿Es un Hideez Key más seguro que recibir las OTP por SMS?

Un código generado en una llave de hardware no se envía por mensaje de texto, por lo que no hay ningún SMS que pueda interceptarse o desviarse. Esto cubre una debilidad de las soluciones basadas en SMS, y la llave sigue funcionando como gestor de contraseñas.