Los Dos Protocolos de Autenticación Más Comunes: Contraseñas y 2FA

Protocolos de Autenticación: Lo que Protege Sus Inicios de Sesión

En la práctica, los dos métodos de autenticación más ampliamente implementados (a menudo llamados protocolos coloquialmente) son:

Mecanismo: El usuario proporciona nombre de usuario + contraseña secreta → hasheado y comparado con el hash almacenado.
Protocolos subyacentes: HTTP Basic/Digest, Form POST, bind LDAP, RADIUS PAP/CHAP, Kerberos (derivado de contraseña), NTLM.
Ubicuidad: Cada sitio web, aplicación, inicio de sesión de SO, Wi-Fi (WPA2-Personal).
Debilidades: Phishing, relleno de credenciales, fuerza bruta, reutilización, keylogging, ingeniería social.
Mitigaciones: Hashing Argon2/bcrypt/scrypt, límite de velocidad, verificación de contraseñas vulneradas (HIBP), MFA.

Concepto: Algo que sabe (contraseña) + algo que tiene (dispositivo OTP, teléfono, llave) o es (biometría).
Protocolos comunes:
- TOTP (RFC 6238): OTP basado en tiempo (Google Authenticator, Authy, Microsoft Authenticator).
- HOTP (RFC 4226): OTP basado en contador (YubiKey OTP, RSA SecurID).
- FIDO2 / WebAuthn / CTAP: Criptografía de clave pública, llaves de hardware (YubiKey, Titan), autenticadores de plataforma (Touch ID, Windows Hello) — resistente al phishing.
- Push / Aprobar: Duo, Microsoft Authenticator, Okta Verify — el servidor envía notificación push, el usuario aprueba.
- OTP por SMS / Voz / Correo electrónico: El 2FA más débil (SIM swap, SS7, phishing) — en desuso para alto valor.
Adopción: Obligatorio para administración, finanzas, salud, gobierno; opcional pero impulsado para consumidores.

Contraseñas + 2FA = postura de seguridad básica para casi todo hoy en día.