Què és l'autenticació de dos factors? Guia en llenguatge senzill
L'autenticació de dos factors (2FA) és un inici de sessió que demana dos tipus diferents de prova que ets qui dius ser: normalment alguna cosa que saps, com una contrasenya, més alguna cosa que tens, com el telèfon o una clau de seguretat. Si un delinqüent roba o endevina la teva contrasenya, encara no podrà entrar sense el segon factor. És una de les maneres més senzilles de protegir els comptes que importen.
Per què importa quan construeixes amb IA
Quan demanes a un constructor d'IA un «inici de sessió», normalment obtens correu electrònic i contrasenya. És un bon començament, però les contrasenyes es reutilitzen, es roben amb suplantació (phishing) i es filtren. Si la teva app guarda alguna cosa valuosa —registres de clients, factures, controls d'administració, configuració de pagaments—, una sola contrasenya robada podria exposar-ho tot.
El 2FA també afecta decisions en les quals potser no penses al principi:
- Qui l'ha d'usar. Opcional per a tothom, obligatori per als administradors o obligatori per a tots?
- Quins mètodes admets. Codis d'una app, missatges de text, claus d'accés, claus de seguretat.
- Què passa quan algú queda bloquejat. Els telèfons perduts són la sol·licitud d'ajuda més habitual en qualsevol app amb 2FA.
- On s'aplica. La comprovació s'ha de fer al servidor. Una pantalla de 2FA que només amaga la pàgina al navegador es pot saltar.
No cal que construeixis tu la criptografia: les biblioteques ben provades i els proveïdors d'autenticació ja se n'encarreguen. Però sí que cal saber què demanar.
Una analogia quotidiana
Pensa en una caixa de seguretat d'un banc. Per obrir-la necessites el teu DNI (alguna cosa que el banc comprova que ets o que saps) i la clau física (alguna cosa que tens). Un lladre que copia la teva signatura encara no té la clau. Un lladre que roba la clau encara no pot superar la comprovació del DNI.
El 2FA funciona igual. La contrasenya és la signatura; el telèfon o la clau de seguretat és la clau física. Cadascun per si sol no és suficient.
Els tres tipus de factors
Els estàndards de seguretat, com les directrius d'identitat digital del Nacional Institute of Standards and Technology dels Estats Units, agrupen els factors en tres tipus:
| Factor | Exemples |
|---|---|
| Alguna cosa que saps | Contrasenya, PIN |
| Alguna cosa que tens | Telèfon amb una app d'autenticació, una clau de seguretat, un dispositiu que conté una clau d'accés |
| Alguna cosa que ets | Empremta digital, cara —normalment s'usa per desbloquejar un dispositiu que després fa la comprovació real |
La paraula clau és diferent. Una contrasenya més una pregunta de seguretat són dues coses que saps, així que no és autenticació de dos factors real. Si una sola filtració pot revelar les dues, només compta com una.
Els mètodes de 2FA habituals comparats
| Mètode | Com funciona | Fortalesa | Notes |
|---|---|---|---|
| Codi per SMS | Un codi s'envia per missatge de text al teu número de telèfon | La més feble | Vulnerable al canvi de SIM i a la suplantació, però molt millor que no tenir 2FA |
| Codi per correu | Un codi s'envia per correu electrònic | Feble | Només és tan segur com el compte de correu |
| App d'autenticació (TOTP) | Una app com Google Authenticator genera un nou codi de 6 dígits, normalment cada 30 segons | Bona | Funciona sense connexió; encara es pot suplantar si una web falsa demana el codi |
| Aprovació push | Una app pregunta «Ets tu?» i tu toques per aprovar | Bona | Vigila la «fatiga d'aprovació», quan els usuaris toquen sí per deixar de rebre peticions repetides |
| Clau d'accés o clau de seguretat | Una clau criptogràfica en un dispositiu demostra que estàs al lloc real | La més forta | Resistent a la suplantació perquè no respon a un domini que s'hi assembla |
La guia del NIST considera que els mètodes en què escrius un codi (SMS, correu, apps d'autenticació) no són resistents a la suplantació, i marca l'enviament de codis per la xarxa telefònica com a «restringit». Les claus d'accés i les claus de seguretat de maquinari, basades en els estàndards WebAuthn/FIDO2, són les que considera resistents a la suplantació.
La conclusió pràctica: una app d'autenticació és una opció per defecte forta i fàcil per a la majoria d'apps, i val la pena oferir claus d'accés si els usuaris s'hi senten còmodes.
Un exemple pràctic: 2FA per a un portal de clients
Imagina que has creat un portal on una petita gestoria comparteix documents fiscals amb els seus clients. Així funciona una configuració sensata de 2FA, pas a pas.
Activar-lo (inscripció). La Priya, una client, obre Configuració i fa clic a «Activa l'autenticació de dos factors». L'app genera un secret i el mostra com a codi QR. Ella l'escaneja amb la seva app d'autenticació, que comença a mostrar codis de sis dígits. Escriu el codi actual de tornada al portal per demostrar que la configuració ha funcionat. L'app mostra deu codis de recuperació i li demana que els guardi en un lloc segur.
Iniciar sessió després.
- La Priya introdueix el seu correu i la contrasenya. El servidor els comprova.
- En lloc d'autoritzar-la directament, el servidor marca la sessió com a «contrasenya correcta, segon factor pendent» i mostra la pantalla del codi.
- Escriu el codi de la seva app. El servidor el comprova amb el secret guardat, tolerant una petita desviació del rellotge.
- Només ara el servidor crea una sessió completa i li deixa veure els documents.
Què veu un atacant. Si la contrasenya de la Priya s'ha filtrat d'un altre lloc, l'atacant es queda encallat al pas 3. Cada intent de codi fallit es compta i, després de diversos intents erronis, el compte es bloqueja temporalment i la Priya rep un correu electrònic.
Perdre el telèfon. La Priya fa servir un dels seus codis de recuperació per iniciar sessió, desactiva i torna a activar el 2FA amb el nou telèfon i obté codis de recuperació nous. El codi usat no es pot tornar a fer servir mai.
Per al personal. Els comptables de la gestoria poden veure els fitxers de tots els clients, així que el portal exigeix 2FA als comptes del personal; no poden accedir al tauler fins que s'hagin inscrit.
Termes comuns explicats
| Terme | Què vol dir |
|---|---|
| 2FA / MFA | Autenticació de dos factors / multifactor: iniciar sessió amb més d'un tipus de prova. |
| Factor | Un tipus de prova: alguna cosa que saps, tens o ets. |
| TOTP | Contrasenya d'un sol ús basada en el temps: els codis que canvien a les apps d'autenticació. |
| Secret compartit | El valor ocult, configurat amb un codi QR, que l'app i el telèfon fan servir per generar codis iguals. |
| Codis de recuperació (còpia de seguretat) | Codis d'un sol ús per entrar quan has perdut el segon factor. |
| Clau d'accés (passkey) | Una credencial d'inici de sessió guardada al dispositiu que fa servir criptografia de clau pública en lloc d'una contrasenya. |
| Clau de seguretat | Un petit dispositiu físic (USB o NFC) que fa la mateixa funció que una clau d'accés. |
| Canvi de SIM (SIM swapping) | Enganyar una operadora perquè passi el número d'algú a una nova SIM, de manera que els missatges arribin a l'atacant. |
| Suplantació (phishing) | Una web o un missatge falsos que enganyen la gent perquè lliuri contrasenyes o codis. |
| Autenticació reforçada (step-up) | Demanar de nou el segon factor abans d'una acció sensible, com canviar les dades de cobrament. |
Errors comuns i idees equivocades
- «El 2FA fa que un compte no es pugui hackejar.» El fa molt més difícil. Les webs de suplantació encara poden capturar els codis escrits en temps real, per això existeixen les claus d'accés.
- Comprovar el codi només al navegador. Si el servidor emet una sessió completa després de la contrasenya, la pantalla del codi és decorativa. El servidor ha de denegar l'accés fins que el segon factor superi la comprovació.
- Cap límit als intents de codi. Un codi de sis dígits té un milió de possibilitats. Sense limitació de freqüència i bloquejos, un atacant pot seguir provant.
- Oblidar la recuperació. Sense codis de recuperació, cada telèfon perdut es converteix en un tiquet de suport o en un client bloquejat.
- Guardar el secret TOTP de manera descuidada. El secret compartit s'hauria de xifrar a la base de dades i no mostrar-se mai més després de la configuració.
- Deixar que els usuaris desactivin el 2FA sense tornar a comprovar. Desactivar el 2FA o canviar el correu hauria de requerir la contrasenya i un codi vigent.
- Una contrasenya més una pregunta de seguretat compta com a 2FA. No ho és: les dues coses són alguna cosa que saps.
Què demanar al teu constructor d'IA
- «Afegeix l'autenticació de dos factors opcional amb una app d'autenticació (TOTP), amb un codi QR per a la configuració i un codi de confirmació abans d'activar-la.»
- «Mostra deu codis de recuperació d'un sol ús quan el 2FA estigui activat. Guarda'ls xifrats (hash), com les contrasenyes.»
- «Aplica el 2FA al servidor: cap sessió completa fins que el segon factor superi la comprovació.»
- «Limita els intents de codi i bloqueja l'inici de sessió durant 15 minuts després de diversos errors. Envia un correu a l'usuari quan passi.»
- «Exigeix el 2FA als comptes d'administrador.»
- «Demana la contrasenya i un codi vigent abans de desactivar el 2FA o canviar el correu del compte.»
- «Fes servir una biblioteca coneguda o el 2FA integrat del nostre proveïdor d'autenticació; no escriguis tu la criptografia.»
- «Explica quin mètode has fet servir i on s'emmagatzemen els secrets.»
Si fas servir un proveïdor d'autenticació allotjat, comprova si ja ofereix 2FA o claus d'accés; activar una funció integrada sol ser més segur que el codi a mida. La versió pas a pas és a com afegir l'autenticació de dos factors, i què és l'autenticació explica els conceptes bàsics d'inici de sessió que hi ha a sota.
L'autenticació de dos factors a Mythex
Mythex no inclou un sistema d'inici de sessió integrat per als usuaris de la teva app; per tant, el 2FA forma part de l'enfocament d'autenticació que triïs: el teu propi inici de sessió amb correu i contrasenya, amb el suport de la base de dades del projecte, o un proveïdor allotjat que ofereixi 2FA. Demanes a l'agent que l'afegeixi al xat, i qualsevol clau del proveïdor va als secrets del projecte, no al propi xat. La recepta de la documentació sobre afegir inici de sessió a la teva app té un prompt inicial per adaptar, i la seguretat de les apps que construeixes cobreix els hàbits al voltant de les claus. Abans del llançament, repassa la llista de verificació de seguretat per a apps construïdes amb IA.
Preguntes
Què és l'autenticació de dos factors, en termes senzills?
L'autenticació de dos factors (2FA) vol dir que iniciar sessió requereix dos tipus diferents de prova, normalment la contrasenya i un codi del telèfon o una clau de seguretat. Algú que només robi la teva contrasenya tampoc no podrà entrar.
El 2FA és el mateix que el MFA?
Gairebé. L'autenticació multifactor (MFA) vol dir dos o més factors; l'autenticació de dos factors és el cas més habitual, amb exactament dos. En l'ús quotidià, els termes s'usen indistintament.
És segur el 2FA per SMS?
És molt millor que només una contrasenya, però és l'opció comuna més feble. Els missatges de text es poden interceptar o redirigir mitjançant el canvi de SIM (SIM swapping), i una pàgina d'inici de sessió falsa pot enganyar la gent perquè escrigui el codi. Les apps d'autenticació són més segures, i les claus d'accés o les claus de seguretat, encara més.
La meva app necessita autenticació de dos factors?
Si els comptes gestionen diners, dades privades o poder d'administració sobre altres usuaris, oferir el 2FA és una bona idea, i és habitual exigir-lo als administradors. Per a una app senzilla d'afició pot ser opcional o deixar-se per més endavant.
Què passa si un usuari perd el telèfon?
Per això serveixen els codis de recuperació: una llista curta de codis de còpia d'un sol ús que es mostra quan s'activa el 2FA. Sense ells, la recuperació sol requerir una verificació d'identitat manual per part del propietari de l'app, així que cal planificar-la abans del llançament.